Política de privacidad de la app

Versión 4. Redacción de 21 de octubre de 2026, con la revisión letrada de octubre de 2026 incorporada. Sustituye a la versión 3 (28 de septiembre de 2026). Se pone a tu disposición en el alta de la aplicación y en el primer acceso al portal de gestorías, y se publica en soydeva.es/privacidad-app.

EN UN VISTAZO

• Responsable: SBI DIGITAL, S.L.U., titular de Deva (soporte@soydeva.es).
• Usamos tus datos para prestarte el servicio de facturación, cobrarte el precio del servicio, cumplir las obligaciones fiscales (VeriFactu/AEAT) y, solo con tu consentimiento, enviarte comunicaciones comerciales.
• Tu voz, tus fotos de tickets y documentos y lo que consultas al asistente se procesan con Mistral AI, un proveedor europeo que, por contrato, no los usa para entrenar sus modelos. No guardamos el audio. Puedes desactivar la voz y la inteligencia artificial (IA) en Ajustes.
• Tu biometría (huella o rostro) nunca sale de tu móvil.
• Compartimos datos con los proveedores necesarios para el servicio; con tu gestoría y con las aplicaciones de terceros (estas últimas, cuando Deva active esta función), solo si tú lo autorizas; y con la AEAT, cuando la ley lo exige. No vendemos tus datos.
• Las facturas emitidas no se pueden borrar: la ley obliga a conservarlas y a que sean inmutables (VeriFactu). El resto de tus datos puedes suprimirlos, salvo los que conservamos bloqueados durante los plazos del apartado 9 (por ejemplo, la representación ante la Agencia Tributaria con la copia de tu documento, o el registro de tus aceptaciones).
• Derechos: acceso, rectificación, supresión, portabilidad, limitación y oposición en Ajustes, «Ejercer mis derechos», o en soporte@soydeva.es. Puedes reclamar ante la AEPD (aepd.es).

1. RESPONSABLE DEL TRATAMIENTO

El responsable del tratamiento es SBI DIGITAL, S.L.U., NIF B05669569, con domicilio social en calle Capitán Blanco Argibay 21, portal D, 1.º B, 28029 Madrid, titular de la aplicación Deva (en esta política, «Deva» designa también a la sociedad). Contacto de privacidad: soporte@soydeva.es.

Esta política se aplica a la aplicación Deva, disponible para móviles Android e iPhone, y a sus páginas en soydeva.es que usas con tu cuenta, como el portal de gestorías (gestor.soydeva.es). Los datos que se recogen en la web de soydeva.es se rigen por su propia política (soydeva.es/privacidad). Tratamos tus datos conforme al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD), y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

Esta política cubre tus datos como usuario de Deva: como profesional que factura con la aplicación o como gestoría que usa el portal. De los datos de tus clientes que gestionas con Deva, el responsable eres tú y Deva es tu encargado de tratamiento; esa relación se regula en el Contrato de Encargo de Tratamiento (soydeva.es/encargo).

2. QUÉ DATOS TRATAMOS

• Identidad y fiscalidad: nombre, fecha de nacimiento, NIF, dirección fiscal, actividad (epígrafe IAE), régimen de IVA e IRPF, series de facturación; la descripción de tu profesión que escribes en el alta.
• Contacto y acceso: correo, teléfono; tu identidad de Google o, en iPhone, de Apple si eliges ese acceso (tu correo; tu nombre, si te lo piden y lo compartes, para rellenar el alta, y puedes cambiarlo; y el identificador que asignan a tu cuenta, para reconocerte cuando entras); las llaves de acceso que añadas (guardamos la parte pública de cada llave y la fecha de alta; la parte privada la guarda el gestor de llaves de tu móvil —normalmente tu cuenta de Google o tu llavero de iCloud, que puede sincronizarla entre tus dispositivos— y Deva nunca la recibe); tus sesiones y dispositivos (identificador y modelo del móvil, dirección IP y datos técnicos de la aplicación o del navegador desde el que entras); tu foto de perfil y tu logotipo, si los añades.
• Actividad económica: facturas, presupuestos, hojas de encargo, partes de trabajo, facturas proforma, borradores, estimaciones de tus modelos fiscales y de tus impuestos, gastos y tickets, catálogo, citas, bonos, cuotas y cobros; las fotografías del trabajo y las notas que adjuntes; el kilometraje que registres.
• Tus ajustes fiscales y financieros: el rendimiento neto de tu actividad del año anterior, si lo indicas (para estimar el pago fraccionado del modelo 130), tu cuota de autónomos, el porcentaje que apartas para impuestos, tu objetivo de facturación, si lo fijas, los gastos fijos que anotes (concepto, importe y, si van a plazos, los meses que quedan) y los compromisos de pago que declares para tus previsiones.
• Tu tarjeta de visita: el nombre de tu negocio, tu nombre, tu teléfono y tu correo y, si los rellenas, tu lema, tu web y la dirección visible de tu taller o local. Si generas el código QR de cobro de tu actividad, quien lo escanee ve esta tarjeta y puede guardar tu contacto mientras no haya un cobro cargado en él (apartado 7).
• Voz e imágenes: el audio que dictas y las fotos que haces a tickets, extractos, listas de precios o documentos, mientras se procesan (apartado 4).
• Datos de cobro: si activas tu cuenta de cobros con Stripe, las referencias de esa cuenta (el IBAN de liquidación lo guarda Stripe, no Deva); si conectas tu propio terminal de punto de venta (TPV) virtual, las credenciales de tu comercio en Redsys, cifradas; si añades una cuenta para transferencias, su IBAN completo, para mostrarlo en tus documentos; y, para cobrarte el precio de Deva, la referencia de tu medio de pago, que gestiona Stripe.
• Representación ante la Agencia Tributaria: el modelo de representación firmado, la copia de tu documento de identidad (si eres una sociedad, la de tu representante legal, junto con el documento que le acredita), la evidencia de la firma (la llave de acceso de tu móvil con la que firmaste, fecha, hora, dirección IP, datos técnicos del dispositivo o del navegador y resumen criptográfico del documento firmado) y, si la revocas, la fecha, la dirección IP y los datos técnicos de la revocación.
• Gestoría y terceros: los vínculos con tu gestoría, su nivel de acceso, los apoderamientos que le des y las consultas que os intercambiáis en la aplicación; las aplicaciones de terceros que autorices y sus permisos.
• Las aplicaciones de terceros y el apoderamiento a tu gestoría para emitir facturas en tu nombre no están disponibles en el lanzamiento: hasta que Deva los active, no tratamos esos datos.
• Tu plan: si entraste sin plaza de Pionero, las fechas de tu prueba gratuita; y, si contratas, el estado de tu suscripción.
• Registros de seguridad y auditoría: registros de eventos con dirección IP y dispositivo, exigidos por la trazabilidad de la facturación y la seguridad del servicio.
• Tus aceptaciones: qué versión de estos textos aceptaste o se te mostró, cuándo, la dirección IP y los datos técnicos de la aplicación o del navegador desde el que lo hiciste.
• Si eres una gestoría: tu nombre, correo, NIF y los de tu despacho, tu cartera de clientes vinculados y el registro de tu actividad en el portal.
• Datos que no nos das tú: tu correo, tu nombre y el identificador de tu cuenta, si accedes con Google o Apple; el resultado de la validación de tu NIF (Agencia Tributaria y VIES); el estado de tu cuenta de cobros, que nos comunica Stripe; y, si una gestoría solicita vincularse contigo, los datos de esa solicitud.

3. PARA QUÉ Y CON QUÉ BASE LEGAL

Para abrir tu cuenta aceptas los Términos (soydeva.es/terminos) y el Contrato de Encargo de Tratamiento. Lo haces tú, de forma expresa y voluntaria, con una acción positiva: marcas una casilla para cada uno y sin marcar las dos casillas no puedes continuar. Si eres una gestoría, al entrar por primera vez en el portal aceptas los Términos, en lo que te resulten aplicables.

La Política de Privacidad se te muestra para que la leas antes de continuar; no es un contrato que firmas: te informa de cómo tratamos tus datos. Por eso no la aceptas.

Marcar esas casillas es aceptar esos dos textos, no darnos un consentimiento para tratar tus datos: cada tratamiento tiene la base jurídica que se indica en los puntos siguientes. El consentimiento solo es la base de las comunicaciones comerciales, que das aparte, marcando una casilla opcional del alta; no marcarla no cambia nada del servicio.

• Prestarte el servicio (cuenta, documentos, catálogo, agenda, gastos, cobros, gestoría, aplicaciones de terceros que autorices): ejecución del contrato (art. 6.1.b RGPD).
• Tu fecha de nacimiento, para que declares que cumples el requisito de tener 18 años y, si activas la cuenta de cobros, para cumplimentar previamente el formulario de Stripe: ejecución del contrato (art. 6.1.b RGPD). No verificamos tu edad: confiamos en lo que declaras (apartado 13).
• Validar tu NIF con la Agencia Tributaria y, en operaciones con otros Estados miembros de la Unión Europea, tu número de IVA en el sistema VIES de la Comisión Europea: ejecución del contrato (art. 6.1.b RGPD) y cumplimiento de la normativa de facturación (art. 6.1.c RGPD). La validación del NIF de tus clientes se rige por el Contrato de Encargo de Tratamiento.
• Funciones de voz e inteligencia artificial que tú inicias: ejecución del contrato (art. 6.1.b RGPD); son desactivables en Ajustes (apartado 4).
• Reconocer tus conceptos por su significado (apartado 4.6), que hacemos en segundo plano: ejecución del contrato (art. 6.1.b RGPD).
• Diagnóstico del dictado y del asistente: conservamos 90 días el concepto reconocido en lo que dictas o pides al asistente para preparar un documento, y las opciones con las que se comparó, sin el audio ni la frase completa. Ese concepto puede incluir un nombre que hayas mencionado. Sirve para corregir los errores de reconocimiento que podrían trasladarse a tus facturas: interés legítimo (art. 6.1.f RGPD). Puedes oponerte (apartado 10) o desactivar la voz y la inteligencia artificial.
• Precios de referencia (apartado 5): interés legítimo (art. 6.1.f RGPD) en ofrecer a cada profesional una referencia de precio agregada, sin identificar a ningún otro. Puedes oponerte a que tus precios se usen para ello.
• Otorgar y usar la representación ante la Agencia Tributaria para remitir tus registros: ejecución del contrato (art. 6.1.b RGPD). Conservarla con la copia de tu documento: obligación legal, porque la Agencia puede exigir que se acredite (art. 6.1.c RGPD; art. 46 de la Ley General Tributaria), e interés legítimo en poder demostrar la autenticidad de tu firma, de la que SBI DIGITAL, S.L.U. responde ante la Agencia (art. 6.1.f RGPD). La copia de tu documento (o, si eres una sociedad, la de tu representante legal) solo se usa para esto: de ella no extraemos más dato que la comprobación de que su número coincide con el NIF de tu cuenta o, si eres una sociedad, con el de tu representante legal según el documento que acredita su cargo, no la usamos para verificar tu edad ni para ningún otro fin, y se guarda cifrada.
• Cobrarte el precio del servicio y emitir nuestras facturas: ejecución del contrato (art. 6.1.b RGPD) y obligaciones contables y fiscales (art. 6.1.c RGPD). El medio de pago lo gestiona Stripe; Deva conserva solo su referencia.
• Cumplir obligaciones legales, en particular las de facturación y VeriFactu, la conservación fiscal (incluido el registro de los apoderamientos con los que tu gestoría emitió facturas en tu nombre) y la remisión de registros a la AEAT: obligación legal (art. 6.1.c RGPD).
• Seguridad del servicio, prevención del fraude y trazabilidad (registros de eventos, control de sesiones, verificación y aviso de los actos sensibles como el cambio de tu cuenta bancaria): interés legítimo (art. 6.1.f RGPD).
• Atender tus consultas de soporte: interés legítimo (art. 6.1.f RGPD).
• Conservar el registro de tus aceptaciones (qué versión de estos textos aceptaste o se te mostró y cuándo) y los registros de auditoría, también después de cerrar tu cuenta y junto con tu nombre y NIF para poder atribuirlos: respecto de tu consentimiento para comunicaciones comerciales, obligación de poder demostrarlo (arts. 6.1.c y 7.1 RGPD); respecto de los Términos, el Contrato de Encargo de Tratamiento y esta política, interés legítimo en poder acreditar lo que aceptaste o se te mostró y defendernos de reclamaciones (art. 6.1.f RGPD). Se conservan durante el plazo indicado en el apartado 9.
• Enviarte comunicaciones comerciales: solo con tu consentimiento (art. 6.1.a RGPD), que puedes retirar en cualquier momento en Ajustes, sin que ello afecte al servicio ni a la licitud del tratamiento anterior a su retirada. Los avisos necesarios para el servicio (un código de acceso, un cobro recibido, un cambio en tu cuenta bancaria) no son comunicaciones comerciales y no dependen de este consentimiento: no darlo, o retirarlo, no los detiene.
• Qué datos son necesarios: los de identidad, fiscales y de contacto son imprescindibles para abrir la cuenta y prestarte el servicio; sin ellos no podemos hacerlo. Los demás dependen de las funciones que uses.
• Decisiones automatizadas: las sugerencias de la inteligencia artificial y los precios de referencia son propuestas que revisas y decides tú. Además, la aplicación aplica automáticamente las consecuencias que prevén los Términos (cláusulas 12.5 y 12.6) y las condiciones del programa Pioneros (soydeva.es/pioneros/condiciones) cuando termina la prueba gratuita o el periodo gratuito sin que contrates, cancelas la suscripción o un cobro no se regulariza: tu cuenta pasa a modo de consulta y, si no se regulariza en 60 días, se cierra, avisándote antes por correo. Son necesarias para ejecutar el contrato (art. 22.2.a RGPD); puedes pedir que una persona revise la situación de tu cuenta, exponer tu punto de vista e impugnarla escribiendo a soporte@soydeva.es. Fuera de estos casos, no tomamos decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos sobre ti o te afecten de modo similar.

4. VOZ E INTELIGENCIA ARTIFICIAL

4.1. Cuando pulsas el micrófono, fotografías un ticket, un extracto o una lista de precios, o hablas con el asistente, el audio, la imagen o el texto se envían cifrados a nuestros servidores y desde ellos a Mistral AI (Francia, UE), que los transcribe, extrae los datos o responde. Los resultados se te muestran para que los revises. Para responderte, el asistente envía también a Mistral AI los datos de tu cuenta que necesita consultar (por ejemplo, tus clientes con su NIF y su contacto, y tus facturas, cobros, gastos y citas). Lo mismo ocurre cuando tu gestoría usa el asistente sobre tus datos desde su portal (Términos, cláusula 9.2).

4.2. Para que el dictado reconozca a quién te refieres, junto con el audio enviamos los nombres de algunos de tus clientes y tus conceptos. Para situarte en tu epígrafe de actividad en el alta, enviamos la descripción de tu profesión.

4.3. Mistral AI trata estos datos por cuenta de Deva con un contrato de servicio de pago que incluye un acuerdo de tratamiento de datos y le prohíbe usarlos para entrenar sus modelos. Además, para vigilar usos abusivos de su servicio, Mistral AI los conserva como máximo 30 días como responsable propio, conforme a su acuerdo de tratamiento de datos, y después los borra. No almacenamos el audio. La imagen de un ticket se conserva 48 horas si no la confirmas como gasto (apartado 9); las fotos que decides adjuntar a un gasto o a un documento sí se guardan, porque forman parte de él.

4.4. Puedes desactivar las funciones de voz e IA en Ajustes: tu móvil deja de enviar audio, imágenes y textos a esas funciones, y la aplicación funciona con normalidad introduciendo los datos a mano. El ajuste se guarda en cada móvil (vuelve a estar activado si cierras la sesión o entras desde otro) y no desactiva el asistente que tu gestoría use sobre tus datos desde su portal mientras el vínculo esté activo (Términos, cláusula 9.2), ni la preparación de tus conceptos que hace nuestro servidor (apartado 4.6).

4.5. Cuando dictas una línea, la aplicación busca el concepto entre los tuyos y los propios de tu actividad. Estos últimos los genera la inteligencia artificial a partir del epígrafe; de los demás usuarios solo se toma, de forma agregada, la frecuencia de uso de cada concepto, para ordenarlos.

4.6. Para que el dictado y el asistente reconozcan tus conceptos por su significado, y no solo por cómo se escriben, nuestro servidor envía a Mistral AI, en segundo plano y periódicamente, el texto de los conceptos de las facturas que emites, sin tus datos de cuenta, y guarda junto a cada concepto la representación numérica que devuelve, que se borra con él. Es el texto que tú escribiste y puede incluir el nombre de un cliente si lo pusiste en el concepto. Este envío no depende del ajuste del apartado 4.4.

5. PRECIOS DE REFERENCIA

Cuando un concepto no tiene precio, la aplicación puede sugerirte un precio de referencia calculado con los precios que cobran por ese concepto otros profesionales de tu misma actividad. Solo se calcula cuando hay datos de al menos 20 negocios distintos, se muestra de forma agregada (un precio medio y una horquilla), sin identificar a ningún profesional ni mostrar lo que cobra ninguno de ellos por separado. Para ello conservamos los precios de las líneas de tus facturas sin tu nombre ni el de tus clientes. Puedes oponerte a que tus precios se usen para calcular estas referencias desde Ajustes o escribiendo a soporte@soydeva.es.

6. BIOMETRÍA

El desbloqueo y la confirmación biométrica (huella o rostro) se realizan íntegramente en tu dispositivo, con la tecnología del propio sistema operativo. Deva nunca recibe, almacena ni puede acceder a tus datos biométricos: a nuestros servidores solo llega la confirmación de que la verificación se produjo.

7. CON QUIÉN COMPARTIMOS DATOS

Proveedores que tratan datos por cuenta de Deva (encargados), con contrato conforme al art. 28 RGPD:

• Mistral AI (Francia, UE): voz, imágenes, asistente y descripción de la profesión (apartado 4).
• Brevo (Francia, UE): el envío de todo el correo electrónico de Deva (el código de acceso, los avisos del servicio, la entrega de tus documentos a tus clientes y los avisos previos de los cobros recurrentes).
• Stripe: cuenta de cobros, procesamiento de cobros, mandatos, devoluciones y el cobro del precio de Deva. Puede tratar datos en Estados Unidos.
• Google (Firebase): envío de notificaciones a tu dispositivo. Puede tratar datos en Estados Unidos.
• Google (Google Workspace): los buzones de correo de Deva (soporte@soydeva.es y las demás direcciones @soydeva.es), en los que recibimos tus consultas, tus solicitudes de derechos y las respuestas a nuestros correos. Puede tratar datos en Estados Unidos.
• Apple: solo en iPhone, envío de notificaciones a tu dispositivo. Puede tratar datos en Estados Unidos.
• Supabase (Supabase Pte. Ltd., Singapur; servidores en Francia, UE): base de datos y archivos (fotos, logotipos, documentos). Puede acceder a los datos desde fuera de la Unión Europea.
• Fly.io (Fly.io, Inc., Estados Unidos; servidores en Francia, UE): servidores donde se ejecuta el servicio. Puede acceder a los datos desde Estados Unidos.
• Vercel: alojamiento de la web, del portal de gestorías y de las páginas en las que tus clientes leen, firman y pagan tus documentos; por su red pasan, camino de nuestros servidores, los datos que se muestran o se escriben en esas páginas y en el portal, salvo los de tarjeta o de cuenta bancaria, que van directamente a la pasarela de pago. Puede tratar datos en Estados Unidos.

Otros destinatarios, que tratan los datos como responsables propios:

• Stripe, además, para verificar tu identidad al abrir la cuenta de cobros (normativa de prevención del blanqueo). Deva le cumplimenta el formulario con tu nombre, NIF, fecha de nacimiento, dirección y contacto, y con tu actividad: su nombre, su descripción y su sector.
• Mistral AI, además, para vigilar usos abusivos de su servicio: conserva lo que le enviamos (apartado 4) un máximo de 30 días y después lo borra.
• Google: si accedes con tu cuenta de Google, gestiona tu identidad de acceso y nos facilita tu correo, tu nombre y un identificador de tu cuenta; con sus servicios de mapas, presta el autocompletado de direcciones en el alta (nuestros servidores le envían lo que tecleas en ese campo y la sugerencia que eliges, sin tu dirección IP); y, si pulsas «Ruta» en una cita o abres en el mapa la dirección de un cliente, la aplicación abre Google Maps en tu móvil con esa dirección. Puede tratar datos en Estados Unidos.
• Apple: si accedes con Apple en iPhone, gestiona tu identidad de acceso y nos facilita tu correo, tu nombre si lo compartes y un identificador de tu cuenta.
• Redsys: si conectas tu propio TPV virtual, el cobro se ejecuta en Redsys por tu contrato con tu banco.
• Tu gestoría, si la vinculas: accede a tus datos de facturación, fiscales y de cobros desde su portal, en el nivel que le concedas, mientras el vínculo esté activo; con el nivel de gestión puede, además, registrar cobros y gastos por ti y ajustar tus preferencias fiscales, tus gastos fijos y el rendimiento neto del año anterior; y, si la apoderas, emite facturas en tu nombre.
• Las aplicaciones de terceros que autorices: reciben los datos que cubren los permisos que les das, mientras no los revoques.
• Quien escanee el código QR de cobro de tu actividad, si lo generas: ve tu tarjeta de visita mientras no haya un cobro cargado en él.
• Agencia Estatal de Administración Tributaria (AEAT): remisión de registros de facturación (VeriFactu), que incluyen el concepto que escribes en la factura y, en las facturas que una gestoría emite en nombre de su cliente, el nombre y el NIF de esa gestoría; y verificación de NIF; y la Comisión Europea (VIES) para verificar números de IVA de la Unión Europea.

La lista de proveedores, con lo que hace cada uno y dónde trata los datos, está siempre actualizada en soydeva.es/subencargados.

8. TRANSFERENCIAS INTERNACIONALES

Nuestros proveedores de inteligencia artificial (Mistral AI) y de envío de correo (Brevo) tratan los datos en la Unión Europea; Mistral AI puede recurrir excepcionalmente a subencargados propios fuera de ella, con cláusulas contractuales tipo. La base de datos y los servidores están en Francia, pero sus proveedores, Supabase (sociedad de Singapur) y Fly.io (sociedad de Estados Unidos), pueden acceder a los datos desde fuera de la Unión Europea: Supabase, con cláusulas contractuales tipo; Fly.io, con el Marco de Privacidad de Datos UE-EE. UU. Stripe, Google (también en nuestros buzones de correo de Google Workspace) y Vercel pueden tratar datos en Estados Unidos: esas transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de la Comisión Europea) y, en su defecto, en cláusulas contractuales tipo; las de Apple, en cláusulas contractuales tipo. Puedes pedir una copia de esas garantías en soporte@soydeva.es.

9. CUÁNTO TIEMPO CONSERVAMOS TUS DATOS

Mientras tu cuenta esté activa: los necesarios para prestarte el servicio.

Si tu cuenta se cierra (porque la cierras tú o porque la cerramos conforme a los Términos, cláusula 16): eliminamos tus datos en el plazo de 1 mes, salvo los que la ley obliga a conservar y los que se bloquean durante los plazos indicados a continuación. Si al cerrarla hay en curso un procedimiento tributario, una reclamación o un requerimiento de una autoridad que afecte a tus datos, los conservamos bloqueados hasta que termine, con una fecha de revisión, y te lo decimos si nos lo preguntas.

Plazos de conservación, dato por dato:

• Facturas emitidas y registros de facturación, incluidos tus datos de emisor que figuran en ellas: 6 años desde el cierre del ejercicio en que se emitieron, bloqueados (art. 30 del Código de Comercio; art. 32 LOPDGDD: reservados y accesibles solo para atender responsabilidades legales), e inalterables por exigencia del Reglamento aprobado por el RD 1007/2023 (VeriFactu).
• Facturas de Deva a tu nombre (por el precio del servicio): 6 años (art. 30 del Código de Comercio).
• Diagnóstico del dictado y del asistente: 90 días, con borrado automático.
• Precios de las líneas para las referencias (apartado 5): 24 meses.
• Borradores: los que eliminas se borran en el acto; los que dejas sin usar, a los 30 días de su última sincronización, salvo que estén ligados a un documento, un bono, una cuota o una cita.
• Tickets fotografiados y no confirmados como gasto: 48 horas.
• Cuenta bancaria para transferencias, una vez retirada: 13 meses con el número completo, para que puedas acreditar un cambio que no hayas hecho tú; después se enmascara de forma irreversible.
• Registros técnicos de seguridad (sesiones caducadas, intentos de acceso, límites de peticiones): 12 meses.
• Registro de los accesos del personal de Deva a tus datos (quién, cuándo, qué y por qué): 2 años desde cada acceso, aunque cierres tu cuenta.
• Representación ante la Agencia Tributaria, con la copia de tu documento: 4 años contados desde el final del año siguiente al de la última remisión hecha con ella, o desde su revocación si es posterior, aunque cierres tu cuenta.
• Registro de los apoderamientos a tu gestoría: mientras subsista la obligación fiscal que respaldan (plazo de prescripción tributaria).
• Consultas de soporte: 1 año desde que se cierran.
• Cuenta en modo de consulta (prueba gratuita vencida sin contratar, suscripción cancelada, impago no regularizado o fin del programa Pioneros sin contratar; Términos, cláusulas 12.5 y 12.6): se conserva así durante 60 días y después se cierra conforme a los Términos (cláusula 16), con aviso previo por correo.
• Registros de aceptación de estos textos y de auditoría: mientras tu cuenta esté activa y, después, 5 años (plazo de prescripción de las acciones), junto con tu nombre y NIF para poder atribuirlos.

10. TUS DERECHOS

10.1. Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad desde Ajustes, «Ejercer mis derechos» (donde también puedes descargar tus datos en un archivo y cerrar tu cuenta), o escribiéndonos a soporte@soydeva.es o por carta a nuestro domicilio social (SBI DIGITAL, S.L.U., calle Capitán Blanco Argibay 21, portal D, 1.º B, 28029 Madrid). Respondemos en el plazo de un mes, prorrogable dos meses más en casos complejos, en cuyo caso te avisaremos (art. 12.3 RGPD).

10.2. LÍMITE LEGAL A LA SUPRESIÓN: las facturas ya emitidas no pueden borrarse ni modificarse, aunque lo solicites: la normativa de facturación (VeriFactu) exige su inmutabilidad y su conservación (art. 17.3.b RGPD); la corrección se hace emitiendo una factura rectificativa. Se mantienen bloqueadas y solo se usan para atender esas obligaciones legales. También se mantienen bloqueados, durante los plazos del apartado 9, los demás datos que allí se indica que se conservan tras el cierre de tu cuenta.

10.3. Si consideras que no hemos atendido bien tus derechos, puedes enviarnos tu reclamación a soporte@soydeva.es o por carta a nuestro domicilio social (calle Capitán Blanco Argibay 21, portal D, 1.º B, 28029 Madrid), y también reclamar ante la Agencia Española de Protección de Datos, calle Jorge Juan, 6, 28001 Madrid (aepd.es).

11. SEGURIDAD

Aplicamos, entre otras, estas medidas: cifrado de la base de datos local de tu móvil; comunicaciones cifradas con autenticación mutua entre la aplicación y nuestros servidores; cifrado de las credenciales de cobro que nos confías; control de sesiones y dispositivos. Los actos sensibles se confirman con tu dispositivo y, de algunos de ellos, te avisamos además por correo. El registro de eventos que sostiene la trazabilidad de la facturación está protegido frente a manipulaciones. El personal de Deva accede a los datos solo cuando lo requiere el soporte o la seguridad, con registro de cada acceso, y compartimos con cada proveedor solo los datos mínimos necesarios.

12. LA APLICACIÓN Y TU DISPOSITIVO

• La aplicación pide permiso para usar el micrófono (dictado), la cámara (tickets, listas de precios para importar tu catálogo, fotos del trabajo y de los productos de tu catálogo, tu foto de perfil o la de la ficha de un cliente, y la copia de tu documento de identidad para la representación ante la Agencia Tributaria), la galería de fotos (elegir fotos que ya tienes para esos mismos usos, los extractos bancarios que escaneas o tu logotipo), la biometría del dispositivo (desbloquear la aplicación y confirmar actos), la comunicación de corto alcance (NFC), para grabar el enlace de un documento en una etiqueta, y las notificaciones. Cada permiso se pide cuando usas la función y puedes retirarlo en los ajustes de tu móvil.
• Las notificaciones llegan a tu móvil a través del servicio de Google o de Apple, y su texto puede incluir el nombre de un cliente, un importe, el título y el lugar de una cita o el motivo con el que un cliente te pide cambios en un documento. Puedes desactivarlas en los ajustes de tu móvil.
• Tus datos se guardan también en tu móvil para que la aplicación funcione sin conexión: la base de datos, cifrada por la aplicación; los archivos (documentos, fotos y audios), en la zona privada de la aplicación que protege el sistema operativo. Al cerrar sesión, al entrar otro usuario o al cerrar la cuenta se eliminan del dispositivo.
• La aplicación no usa cookies, ni rastreadores publicitarios, ni herramientas de analítica o de informes de errores de terceros.
• El portal de gestorías (gestor.soydeva.es) solo usa las cookies técnicas imprescindibles para mantener y proteger tu sesión (ver la política de cookies, soydeva.es/cookies); no usa cookies de analítica ni publicitarias.

13. MENORES

Deva es una herramienta profesional y solo puede usarla quien tenga 18 años cumplidos. Por eso te pedimos la fecha de nacimiento al registrarte y, con ella, declaras expresamente que eres mayor de edad. No verificamos tu edad: confiamos en lo que declaras, y eres responsable de que los datos que nos das, incluida tu fecha de nacimiento, sean veraces. Si detectamos que un usuario es menor de edad, cerramos la cuenta y suprimimos sus datos, salvo los que la ley obliga a conservar. Si crees que un menor se ha registrado, escríbenos a soporte@soydeva.es.

14. CAMBIOS EN ESTA POLÍTICA

Si cambiamos esta política de forma sustancial (por ejemplo, una nueva finalidad o un nuevo tipo de destinatario), te mostraremos los cambios en la aplicación antes de que sigas usándola y publicaremos la versión actualizada en soydeva.es/privacidad-app. Conservamos el registro de las versiones que se te han mostrado.

Esta política es información, no un contrato: no la aceptas. Si el cambio llega con una versión nueva de los Términos o del Contrato de Encargo de Tratamiento, esa versión sí tienes que aceptarla para seguir usando la aplicación (Términos, cláusula 4.2). Si no la aceptas:

• puedes descargar tus datos y cerrar tu cuenta (Términos, cláusula 16), y te devolvemos la parte no consumida del periodo ya pagado (Términos, cláusula 12.5);
• mientras no la aceptes, la aplicación solo te permite descargar tus datos y cerrar tu cuenta.