Política de privacidad

1. Responsable del tratamiento

Alastia SLU (en adelante, "nosotros" o "Tributs") es el responsable del tratamiento de tus datos personales cuando utilizas el servicio a través del dominio tributs.ad y sus subdominios.

Identificación: sociedad de responsabilidad limitada andorrana, NRT L-720150-X, domicilio fiscal en C/ Prat de la Creu 96, 4-1, AD500 Andorra la Vella (Principat d'Andorra). Contacto para consultas de privacidad: hola@tributs.ad.

Doble rol — importante. Respecto a los datos de tu cuenta y de la facturación de tu suscripción, Alastia SLU es el responsable del tratamiento y esta política se le aplica plenamente. En cambio, respecto a los datos personales de terceros (tus clientes, proveedores y empleados) que introduces o subes al servicio para llevar tu contabilidad, facturación y nóminas, tú eres el responsable del tratamiento y Alastia SLU actúa únicamente como encargado (art. 31 de la Llei 29/2021), siguiendo tus instrucciones. Esta segunda relación se rige por el Acuerdo de encargo del tratamiento (DPA), que forma parte de las condiciones del servicio.

2. Qué datos tratamos

Datos de cuenta: nombre completo, email, contraseña (cifrada con bcrypt), fecha de alta. Origen: formulario de signup.

Datos de la empresa: razón social, NRT, parroquia, fecha de constitución, datos fiscales. Origen: signup + edición en el panel.

Datos contables y tributarios: facturas emitidas y recibidas, movimientos bancarios, declaraciones fiscales, cuentas anuales. Origen: uso del servicio.

Imágenes y documentos adjuntos: fotos y PDFs de facturas que escanees con la función de captura por IA. Origen: subida voluntaria por el usuario.

Conversaciones con el asistente de ayuda: el texto de las consultas que escribes al asistente de uso del producto y las respuestas generadas, con tu historial. Origen: uso voluntario del asistente.

Datos técnicos: logs de acceso (IP, navegador, timestamps), cookies de sesión. Origen: navegación en el servicio.

3. Finalidades del tratamiento

Prestarte el servicio contratado (gestión fiscal y contable de una empresa andorrana).

Generar modelos tributarios a partir de tus datos contables.

Extraer datos estructurados de las facturas que escanees mediante proveedores de IA generativa (sección 5).

Sugerir una categorización contable de los movimientos bancarios (cuando lo pidas) mediante los mismos proveedores de IA (sección 5); la propuesta es orientativa y no se contabiliza sin tu confirmación.

Ofrecer un asistente de ayuda sobre el uso del producto: el texto de tus consultas se procesa con proveedores de IA (sección 5) para devolverte orientación basada en nuestra base de ayuda; no se utiliza para asesoramiento fiscal ni para consultar tus datos contables.

Enviarte notificaciones transaccionales (verificación, facturas pendientes, recordatorios del calendario fiscal).

Gestionar la facturación de tu suscripción a Tributs.

Cumplir las obligaciones legales que nos correspondan.

4. Base legal del tratamiento

Ejecución del contrato: para todos los tratamientos necesarios para prestarte el servicio.

Cumplimiento de obligaciones legales: para la conservación de la documentación contable y fiscal durante los plazos exigidos por la normativa andorrana (base: art. 6.1.c de la Llei 29/2021; obligación de conservar la contabilidad seis años según el art. 7 de la Llei 30/2007, del 20 de diciembre, de la comptabilitat dels empresaris).

Consentimiento: para envíos comerciales no relacionados con el servicio.

Interés legítimo: para la mejora del servicio, el análisis anónimo de uso, la prevención de fraude y el diagnóstico de errores técnicos (art. 6.1.f de la Llei 29/2021). Puedes oponerte en cualquier momento desde /perfil → Diagnóstico de errores sin que ello afecte a la prestación del servicio.

5. Sub-encargados del tratamiento

Para prestarte el servicio recurrimos a proveedores externos que actúan como sub-encargados, organizados en las siguientes categorías. Con cada uno mantenemos un acuerdo de encargo del tratamiento (DPA) y, cuando corresponde, garantías adecuadas (cláusulas contractuales tipo) para las transferencias fuera del EEE.

• Proveedores de IA generativa (EEUU, SCCs + Zero Data Retention) — para el escáner de facturas, la categorización de movimientos bancarios y el asistente de ayuda.
• Alojamiento e infraestructura (UE) — servidores y bases de datos.
• Almacenamiento de adjuntos (región UE, SCCs) — guardado cifrado de los ficheros e imágenes que subes.
• Correo transaccional (EEUU, con región de envío UE, SCCs) — verificación, notificaciones y facturas.
• DNS, CDN y seguridad (EEUU, SCCs) — disponibilidad y protección de nuestros dominios.
• Alojamiento del sitio web público (EEUU, SCCs) — la landing tributs.ad y analítica anónima.
• Diagnóstico de errores técnicos (región de ingest UE, matriz EEUU, SCCs) — errores de software, sin acceso al contenido de tus documentos.

Puedes consultar la lista nominal y actualizada de los sub-encargados (con la identidad de cada proveedor y la fecha de versión). Si actúas como responsable del tratamiento, el mecanismo de notificación de cambios y tu derecho de oposición constan en el Acuerdo de encargo del tratamiento (DPA).

6. Transferencias internacionales

Algunos sub-encargados (sección 5) están ubicados fuera del Espacio Económico Europeo (Estados Unidos). Para estas transferencias nos basamos en las garantías adecuadas previstas en el art. 44 de la Llei 29/2021, en concreto las cláusulas contractuales tipo (SCCs), dentro del marco del Capítulo V (arts. 42 a 45).

Para nuestras transferencias desde Andorra a nuestros proveedores de IA (escáner de facturas, categorización bancaria y asistente de ayuda), la garantía aplicable son estas mismas SCCs del art. 44, con Zero Data Retention (ZDR) activado en la pasarela.

Puedes solicitar una copia de las SCCs aplicables escribiendo a hola@tributs.ad.

7. Plazo de conservación

Datos de cuenta: mientras tengas cuenta activa + 30 días post-baja.

Documentos fiscales y contables: 6 años desde el último cierre del ejercicio, en cumplimiento de la obligación legal de conservación de la contabilidad (art. 7 de la Llei 30/2007). Este plazo cubre también la prescripción tributaria de 3 años (art. 54.1 de la Llei 21/2014, de bases de l'ordenament tributari) y la conservación de facturas a efectos del IGI (art. 77.1 de la Llei 11/2012). El principio de limitación de la conservación es el art. 5.2.e de la Llei 29/2021.

Logs técnicos: 6 meses.

Conversaciones con el asistente de ayuda: 12 meses desde la última actividad, con purga automática. Puedes eliminarlas antes ejerciendo el derecho de supresión.

Backups: 30 días (rotación automática).

Antes del cierre del compte puedes exportar todos tus datos en formato estándar.

8. Medidas de seguridad

Cifrado en tránsito: TLS 1.3 en toda la comunicación.

Cifrado at-rest: contraseñas con bcrypt. Los adjuntos (facturas escaneadas) se guardan cifrados at-rest (SSE AES-256) en un servicio de almacenamiento de objetos ubicado en la región UE.

Aislamiento físico: cada empresa cliente tiene su propia base de datos (multi-site).

Control de acceso: 2FA obligatorio para personal interno.

Backups: copias automáticas diarias con retención rotativa.

9. Derechos del interesado

En aplicación de los artículos 18 a 25 de la Llei 29/2021, tienes los siguientes derechos: acceso, rectificación, supresión, limitación, portabilidad, oposición y decisiones automatizadas. En nuestro servicio no se aplican decisiones automatizadas con efectos jurídicos significativos, pero el derecho existe.

Para ejercer cualquier derecho, escribe a hola@tributs.ad. Te responderemos en un máximo de un mes desde la recepción de la solicitud (art. 15.3 de la Llei 29/2021), ampliable dos meses más en casos especialmente complejos.

Si eres cliente, proveedor o empleado de una empresa que utiliza Tributs y tu solicitud se refiere a datos que esa empresa trata con el servicio, dirígete directamente a ella: es la responsable del tratamiento. Nosotros, como encargado, la asistiremos para atender tu solicitud.

Si consideras que vulneramos la normativa, puedes reclamar ante la Agencia Andorrana de Protección de Datos (APDA): www.apda.ad.

10. Notificación de brechas

Como responsable, en caso de violación de la seguridad de los datos con riesgo para tus derechos, lo notificaremos a la APDA sin dilación indebida y, cuando sea posible, en un máximo de 72 horas desde que tengamos conocimiento (art. 36 de la Llei 29/2021); y te lo comunicaremos a ti sin dilación cuando la violación entrañe un alto riesgo para tus derechos y libertades (art. 37). Cuando actuemos como encargado de un cliente, le informaremos sin dilación indebida (art. 36.2) para que él pueda cumplir estos deberes; el plazo de 72 horas solo se aplica a la notificación del responsable a la APDA, no a nuestra comunicación como encargado.

11. Cambios en esta política

Si modificamos esta política de manera sustancial, te avisaremos por email con al menos 30 días de antelación.

12. Contacto

Consultas de protección de datos: hola@tributs.ad.

Cuando tengamos un DPO designado publicaremos su contacto aquí.