Política de privacidad de la app

En un vistazo

• Responsable: Santiago Barro Iglesias — soporte@soydeva.es.
• Usamos tus datos para prestarte el servicio de facturación, cumplir las obligaciones fiscales (VeriFactu/AEAT) y, solo si nos lo pides, enviarte comunicaciones comerciales.
• Tu voz: el audio que dictas se envía a nuestro proveedor europeo de inteligencia artificial (Mistral AI, Francia) para transcribirlo. Deva no lo guarda; el proveedor lo conserva 30 días como máximo, solo para evitar abusos, y no lo usa para entrenar sus modelos. Puedes desactivar la voz y la IA en Ajustes.
• Tu biometría (huella o rostro) nunca sale de tu móvil.
• Compartimos datos solo con los proveedores necesarios (lista completa) y con la AEAT cuando la ley lo exige.
• Las facturas emitidas no se pueden borrar: la ley obliga a conservarlas y a que sean inalterables. El resto de tus datos, sí — cómo borrar tu cuenta.
• Derechos: acceso, rectificación, supresión, portabilidad, limitación y oposición, desde la app o en soporte@soydeva.es. Puedes reclamar ante la AEPD.

1. Responsable del tratamiento

Responsable

Santiago Barro Iglesias

NIF

53510943V

Domicilio

C/ Alejandro Casona, 1, 3.º A — 33300 Villaviciosa (Asturias)

Contacto de privacidad

soporte@soydeva.es

Está prevista la constitución de una sociedad que asumirá la titularidad del servicio; cuando ocurra, actualizaremos esta política y te lo comunicaremos en la app.

2. Qué datos tratamos

• Identidad y fiscalidad: nombre, fecha de nacimiento, NIF, dirección fiscal, actividad (epígrafe IAE), régimen de IVA/IRPF y series de facturación.
• Contacto y acceso: correo, teléfono, tu identidad de Google o Apple si eliges ese acceso, y datos de tus sesiones y dispositivos (identificador, nombre, dirección IP, navegador o sistema).
• Actividad económica: facturas, presupuestos, borradores, gastos y tickets, catálogo, citas y cobros.
• Voz e imágenes: el audio que dictas y las fotos de tickets o documentos, mientras se procesan (apartado 4).
• Trazas de seguridad y auditoría: registros de eventos con IP y dispositivo, exigidos por la trazabilidad de la facturación y la seguridad del servicio.
• Datos bancarios y de pago: los gestiona Stripe. Deva no almacena tu IBAN completo ni números de tarjeta.

Los datos de TUS clientes que gestionas con Deva son otra cosa: de ellos el responsable eres tú, y Deva actúa como tu encargado de tratamiento. Esa relación se regula en el contrato de encargo que aceptas al registrarte (artículo 28 del RGPD).

3. Para qué y con qué base legal

• Prestarte el servicio (cuenta, documentos, catálogo, agenda, cobros): ejecución del contrato (art. 6.1.b RGPD).
• Tu fecha de nacimiento, para dos cosas: comprobar que cumples el requisito de tener 18 años —condición para contratar con nosotros— y, si activas los cobros con tarjeta, pre-rellenar con ella el formulario de Stripe para que no tengas que escribirla otra vez: ejecución del contrato (art. 6.1.b RGPD). Stripe necesita ese dato por obligación legal propia (prevención del blanqueo y verificación de identidad) y lo trata como responsable independiente, no por cuenta de Deva. No verificamos tu edad: confiamos en lo que declaras (apartado 11).
• Funciones de voz e IA que tú inicias: ejecución del contrato (art. 6.1.b); desactivables en Ajustes.
• Para poder entender por qué el dictado te propuso un concepto o un precio, guardamos 90 días el concepto que hemos entendido y las opciones con las que lo comparamos. No guardamos el audio ni la frase completa que dijiste. Ese concepto es el que el sistema extrae de lo que dices, así que puede incluir un nombre que hayas mencionado. Nos sirve para arreglar los fallos que acaban en tus facturas: interés legítimo (art. 6.1.f RGPD). Puedes oponerte (apartado 9) o desactivar la voz en Ajustes.
• Cumplir obligaciones legales, en particular las de facturación y VeriFactu, la conservación fiscal y la remisión de los registros de facturación a la AEAT —que en Deva es siempre, por ser un sistema exclusivamente VERI*FACTU—: obligación legal (art. 6.1.c). Para remitirlos en tu nombre tratamos la autorización de representación que firmas en la app.
• Seguridad, prevención del fraude y trazabilidad: interés legítimo (art. 6.1.f).
• Soporte: interés legítimo (art. 6.1.f).
• Comunicaciones comerciales: solo con tu consentimiento (art. 6.1.a), que puedes retirar cuando quieras sin que afecte al servicio.

4. Voz e inteligencia artificial

Cuando pulsas el micrófono o fotografías un ticket, el audio o la imagen se envían cifrados a Mistral AI (proveedor con sede en Francia, Unión Europea) para transcribir, extraer los datos o leer el documento. Los resultados se te muestran para que los revises.

• Deva no almacena el audio: se procesa y se descarta. El proveedor lo conserva un máximo de 30 días, únicamente para prevenir usos abusivos de su servicio, y después lo elimina.
• Tu voz y tus documentos no se usan para entrenar modelos de inteligencia artificial: así lo garantiza nuestro contrato con el proveedor. Única excepción prevista en ese contrato: los contenidos que sus sistemas detecten como uso prohibido o ilícito pueden ser revisados y utilizados por él para reforzar sus controles de abuso.
• El tratamiento se realiza en la Unión Europea. El proveedor puede, de forma excepcional, apoyarse en subencargados situados fuera de la UE, siempre con las garantías del artículo 46 del RGPD (cláusulas contractuales tipo).
• Puedes desactivar la voz y la IA en Ajustes: la app funciona igual escribiendo.
• Por qué eligió lo que eligió: cuando dictas una línea, la app busca el concepto entre los tuyos y los de tu gremio. Para poder averiguar por qué eligió lo que eligió —y corregirlo si se equivocó—, guardamos 90 días el concepto que entendimos y las opciones que consideró, sin el audio ni la frase completa. Esa información no sale de Deva y no se usa para entrenar modelos.

5. Biometría

El desbloqueo y la confirmación biométrica (huella o rostro) se realizan íntegramente en tu dispositivo, con la tecnología del sistema operativo. Deva nunca recibe, almacena ni puede acceder a tus datos biométricos: a nuestros servidores solo llega la confirmación de que la verificación se produjo.

6. Con quién compartimos datos

Con los proveedores que tratan datos por cuenta nuestra, con contrato conforme al artículo 28 del RGPD: Mistral AI (IA), Stripe (cobros), Google/Firebase (notificaciones y acceso con Google), Apple (acceso con Apple), Supabase (infraestructura y archivos) y Brevo (todo el correo: el código con el que accedes a tu cuenta, los avisos y la entrega de tus documentos a tus clientes; el código de acceso sale de noreply@soydeva.es —si respondes, tu mensaje llega a soporte@soydeva.es— y el resto del correo, de hola@soydeva.es). El detalle de qué trata cada uno y dónde está en /subencargados.

Y con la Agencia Tributaria, por obligación legal: remisión de los registros de facturación (VeriFactu) y verificación de NIF. Eso no es un encargo: es una cesión que impone la ley.

No vendemos tus datos ni los cedemos a terceros para sus propios fines.

7. Transferencias internacionales

El tratamiento de tu voz y tus documentos por la IA se realiza en la Unión Europea. Otros proveedores (Stripe, Google) pueden tratar datos en Estados Unidos: esas transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. y, en su defecto, en cláusulas contractuales tipo.

8. Cuánto tiempo conservamos tus datos

• Mientras tu cuenta esté activa: los necesarios para prestarte el servicio.
• Si cierras tu cuenta: eliminamos tus datos, salvo los que la ley obliga a conservar (ver borrar tu cuenta).
• Tu fecha de nacimiento: mientras tu cuenta esté activa. Si el alta se rechaza por no cumplir el requisito de 18 años, no llegamos a crear la cuenta y no la conservamos.
• Diagnóstico del dictado (el concepto que entendimos y las opciones que comparamos): 90 días, y después se borra automáticamente.
• Facturas emitidas y registros de facturación: se conservan bloqueados durante 6 años (art. 30 del Código de Comercio; bloqueo del art. 32 LOPDGDD: inmutables y accesibles solo para atender responsabilidades legales), y son inalterables por exigencia del RD 1007/2023.
• Voz e imágenes enviadas a la IA: Deva no las conserva; el proveedor, un máximo de 30 días.
• Registros de aceptación de estos textos y trazas de auditoría: durante los plazos de prescripción de las responsabilidades correspondientes.

9. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad desde Ajustes → Ejercer mis derechos (donde también puedes descargar tus datos) o escribiendo a soporte@soydeva.es. Respondemos como máximo en un mes.

Límite legal a la supresión: las facturas ya emitidas no pueden borrarse ni modificarse, ni siquiera si lo pides: la normativa de facturación exige su inmutabilidad y su conservación (art. 17.3.b RGPD). Se mantienen bloqueadas y solo se usan para atender esas obligaciones. Te lo explicamos entero en borrar tu cuenta.

Si consideras que no hemos atendido bien tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

10. Seguridad

Aplicamos, entre otras medidas: cifrado de la base de datos local de tu móvil, comunicaciones cifradas con autenticación mutua entre la app y nuestros servidores, control de sesiones y dispositivos, registros de eventos a prueba de manipulación para la trazabilidad de la facturación, y el principio de mínimo dato necesario con cada proveedor.

11. Menores

Deva es una herramienta profesional y solo puede usarla quien tenga 18 años cumplidos. Por eso te pedimos la fecha de nacimiento al registrarte. No verificamos tu edad: confiamos en lo que declaras. Si detectamos que un usuario es menor de edad, cerramos la cuenta y suprimimos sus datos, salvo los que la ley obliga a conservar. Si crees que un menor se ha registrado, escríbenos a soporte@soydeva.es.

12. Cambios en esta política

Si cambiamos esta política de forma sustancial (por ejemplo, un proveedor nuevo o una finalidad nueva), te mostraremos los cambios en la aplicación y te pediremos aceptar la nueva versión. Conservamos el historial de versiones que has aceptado.