Política de privacidad

GROOVE FACTORY STUDIOS, S.L. (marca Cardeseo), NIF B42915165, con domicilio en Calle Balançó i Boter, 22, 2.ª planta, 08302 Mataró (Barcelona).

Contacto general y para ejercer derechos: info@cardeseo.com. Puedes contrastar los datos identificativos en el aviso legal de Cardeseo.

Cardeseo actúa como responsable de los datos de cuenta, suscripción, soporte, seguridad y prevención de abuso necesarios para prestarte el SaaS.

Cuando una empresa o profesional introduce datos de sus clientes, proveedores, facturas o justificantes, esa empresa decide el tratamiento y Cardeseo actúa como encargado, siguiendo sus instrucciones y las obligaciones legales aplicables. Las solicitudes relativas a una factura recibida de un cliente de Cardeseo pueden requerir la intervención de ese cliente.

• Cuenta, despacho y equipo: nombre, email, autenticación, membresías, asignaciones y rol, para registrar, autenticar, administrar el servicio y limitar cada asesor a sus clientes.
• Suscripción: identificadores de cliente, Checkout, plan y estado de Stripe. Cardeseo no almacena el número completo de la tarjeta.
• Facturación: identidad fiscal y domicilio de emisores, clientes y proveedores; líneas, importes, cobros, registros VeriFactu, presupuestos, gastos y justificantes.
• Escáner de gastos: el justificante, su texto y los campos extraídos se procesan para proponer un borrador editable. La confianza mostrada es una estimación técnica y las correcciones quedan auditadas.
• Asistente de importación: si el usuario lo activa y escribe una consulta, se envían a OpenAI el mensaje y un esquema minimizado de nombres y patrones de columnas para proponer un mapeo. No se envían el archivo ni sus filas. El usuario debe evitar incluir datos personales innecesarios en el mensaje.
• Comunicaciones: destinatario y estado técnico de emails de facturas, presupuestos y avisos recurrentes.
• Seguridad: sesiones, eventos mínimos y hashes temporales de red para impedir abuso del portal público. Antes del hash, la dirección se reduce a una red /24 (IPv4) o /64 (IPv6); no se guarda la IP completa en esas tablas.
• Representación y auditoría de despachos: identidad del declarante, texto y versión aceptados, fecha, dirección IP y agente de usuario para acreditar el alta de un NIF y defender posibles reclamaciones.

• Ejecución del contrato y medidas precontractuales para crear la cuenta, prestar el servicio, colaborar con el despacho y gestionar la suscripción.
• Cumplimiento de obligaciones legales para documentación fiscal, mercantil, facturación y atención de requerimientos.
• Interés legítimo en proteger el servicio, prevenir fraude y abuso, mantener su disponibilidad y defender reclamaciones.

Cardeseo no utiliza los datos fiscales de terceros para publicidad ni elaboración de perfiles comerciales.

Para prestar el servicio intervienen Supabase (base de datos, autenticación y almacenamiento), Vercel (alojamiento), Resend (email), Stripe (pagos) y Cloudflare Turnstile (protección del acceso). Irene Solutions/mdiago procesa los datos necesarios para el sistema informático de facturación y la remisión a la AEAT; la AEAT recibe los registros cuando corresponde legalmente. Cuando el escáner de gastos está habilitado, Microsoft Azure aloja temporalmente la carga y ejecuta Document Intelligence en France Central (París), dentro de la Unión Europea.

Cuando el asistente de importación está habilitado, OpenAI Ireland Ltd. procesa el mensaje del usuario y el esquema minimizado de columnas para devolver una propuesta. Cardeseo configura la API para no conservar estado de la respuesta y OpenAI no usa por defecto los datos de la API para entrenar sus modelos, salvo adhesión voluntaria. No obstante, con la configuración estándar OpenAI puede conservar registros de prevención de abuso durante un máximo de 30 días. Cardeseo no afirmará que existe retención cero ni procesamiento regional europeo hasta que OpenAI lo haya aprobado y se haya configurado expresamente.

Algunos proveedores pueden operar desde fuera del Espacio Económico Europeo. Cardeseo debe mantener con ellos las garantías y contratos aplicables, incluidas cláusulas contractuales tipo o mecanismos equivalentes cuando sean necesarios. No se ceden datos a terceros para sus propios fines comerciales.

Los datos de cuenta y contrato se conservan durante la relación y, después, durante los plazos necesarios para atender obligaciones y reclamaciones. La documentación fiscal y mercantil se conserva durante los plazos legalmente exigibles y no se elimina por una baja si existe deber de conservación.

En el portal público, las sesiones caducan a los 30 minutos; las ventanas de cuota se eliminan tras 2 horas y los eventos seudonimizados tras 30 días. Los enlaces caducados se purgan después del margen operativo previsto. Invitaciones, eventos de entrega/pago y adjuntos se mantienen mientras sean necesarios para seguridad, trazabilidad, contabilidad o defensa de reclamaciones, aplicando después su bloqueo o eliminación.

Los archivos pendientes del escáner se guardan en un staging privado de France Central (París), dentro de la Unión Europea. Se borran tras finalizar el procesamiento y cuentan con una eliminación residual automática a los siete días. Document Intelligence elimina sus datos temporales en un máximo de 24 horas. Un justificante ya vinculado a un gasto sigue la conservación fiscal aplicable.

Cardeseo no guarda el texto de las conversaciones del asistente de importación. Conserva durante un máximo de 90 días métricas operativas mínimas —cuenta, actor, resultado, modelo, consumo, duración y categoría de riesgo detectada— para controlar abuso, coste y disponibilidad. OpenAI puede conservar sus registros de seguridad hasta 30 días cuando se utilice la configuración estándar indicada en la sección anterior.

Las declaraciones de representación y su auditoría se conservan durante la relación gestionada y los plazos de prescripción aplicables. La baja del despacho revoca su acceso, pero no elimina registros fiscales ni evidencias que deban conservarse.

Puedes solicitar acceso, rectificación, supresión, oposición, limitación y portabilidad escribiendo a info@cardeseo.com con el asunto «Ejercicio de derechos RGPD». Podremos pedir información proporcionada para verificar tu identidad sin recopilar más de la necesaria.

La supresión puede quedar limitada cuando una norma obligue a conservar facturas o registros. También puedes reclamar ante la Agencia Española de Protección de Datos.

En el lanzamiento, la aplicación usa cookies técnicas de autenticación y una cookie HttpOnly temporal para el portal de facturas. El navegador conserva además identificadores aleatorios de reintento en sessionStorage para evitar duplicar emails. Cloudflare Turnstile trata los datos técnicos necesarios para prevenir accesos automatizados.

No se han integrado cookies publicitarias ni analítica de marketing en esta aplicación. Si se incorporan, se informará y se solicitará consentimiento previo cuando sea exigible.

Cardeseo aplica controles de acceso por cuenta y asignación de despacho, cifrado en tránsito, enlaces revocables, almacenamiento privado y registros mínimos. Ninguna medida elimina todo riesgo; si detectas un incidente, escribe a info@cardeseo.com.

Los cambios sustanciales de esta política se comunicarán dentro del servicio o por email cuando corresponda.