Política de Privacidad

1. Responsable del tratamiento

Responsable	Punt360 S.L.
NIF / CIF	B05642988
Domicilio	[DIRECCION_COMPLETA_TITULAR]
Correo electrónico	[EMAIL_CONTACTO] · [EMAIL_PROTECCION_DATOS_SI_APLICA]

Esta Política de Privacidad se redacta conforme al Reglamento (UE) 2016/679, de 27 de abril de 2016 (RGPD), y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

2. Doble condición: usuario de Cuadrio y clientes de sus facturas

Cuadrio trata datos personales en dos condiciones jurídicas distintas, que conviene diferenciar:

• Como Responsable del tratamiento, respecto de los datos de la persona que se registra y utiliza Cuadrio (nombre, correo electrónico, contraseña cifrada, datos de la empresa o actividad, datos de facturación de la suscripción y certificado digital de firma).
• Como Encargado del tratamiento, respecto de los datos de los clientes de nuestros usuarios que estos introducen en Cuadrio para emitir sus propias facturas (nombre, NIF/NIE/CIF, dirección, etc.). En esta relación, el usuario de Cuadrio es el Responsable del tratamiento de los datos de sus propios clientes, y Cuadrio actúa únicamente siguiendo sus instrucciones, en los términos del artículo 28 RGPD.

3. Datos que recopilamos

3.1. Datos de registro y cuenta

• Nombre y apellidos, correo electrónico y contraseña (almacenada cifrada mediante hash, nunca en texto plano).
• Nombre o razón social de la empresa/actividad y su NIF/NIE/CIF, verificados frente al censo de la AEAT cuando el servicio de verificación está disponible.
• Idioma preferido y ajustes de la cuenta.

3.2. Datos de facturación y de la suscripción

• Datos del plan contratado, historial de pagos e identificador de suscripción, gestionados a través de nuestra pasarela de pago (actualmente PayPal). Cuadrio no almacena datos completos de tarjetas de pago.

3.3. Datos fiscales y de facturación de terceros

• Los datos de tus clientes que introduces para emitir facturas (nombre/razón social, NIF/NIE/CIF, dirección, conceptos facturados, importes), tratados como se describe en el apartado 2.

3.4. Certificado digital de firma electrónica (FNMT u otras autoridades reconocidas)

Para poder remitir tus registros de facturación a la AEAT conforme al sistema VeriFactu, Cuadrio necesita firmar electrónicamente cada envío con un certificado digital válido (habitualmente un certificado de persona física, de representante o de sello electrónico emitido por la FNMT-RCM u otra autoridad de certificación reconocida) que tú mismo cargas en la aplicación. Sobre el tratamiento de este certificado, informamos expresamente de lo siguiente:

• El archivo del certificado (formato .p12/.pfx) y su contraseña se almacenan cifrados en reposo mediante cifrado simétrico (AES), nunca en texto plano.
• Cada certificado se guarda en un directorio de almacenamiento aislado por empresa (un espacio exclusivo por cada cuenta/empresa dada de alta en Cuadrio), de forma que ninguna otra empresa ni usuario de la plataforma puede acceder a él, ni siquiera de forma indirecta.
• El certificado se utiliza única y exclusivamente para generar la firma electrónica de los registros de facturación y remitirlos a los servicios web de la AEAT (sistema VeriFactu), así como, en su caso, para verificar la identidad fiscal del titular frente a la propia AEAT. No se utiliza para ningún otro fin, ni se emplea para firmar documentos ajenos a esta finalidad.
• El certificado y su contraseña no se ceden ni comunican a terceros distintos de la propia AEAT, en la medida estrictamente necesaria para establecer la conexión segura (TLS mutuo/SOAP) exigida por dicho organismo para la recepción de registros VeriFactu.
• El acceso técnico al material del certificado está restringido a los procesos internos de firma y envío, y queda registrado a efectos de auditoría interna.
• Puedes sustituir o eliminar tu certificado en cualquier momento desde los ajustes de tu empresa. Al eliminar tu cuenta o tu empresa, o al revocar el certificado, el archivo cifrado se elimina de forma permanente de nuestros sistemas, salvo que exista una obligación legal de conservación de los registros de facturación ya remitidos (véase el apartado 7).

4. Finalidades y bases jurídicas del tratamiento

Finalidad	Base jurídica (art. 6 RGPD)
Crear y gestionar tu cuenta y prestar el Servicio contratado	Ejecución de un contrato (art. 6.1.b)
Generar, firmar electrónicamente y remitir tus registros de facturación a la AEAT (VeriFactu)	Cumplimiento de una obligación legal (art. 6.1.c) — Reglamento VeriFactu y Ley 11/2021
Gestionar el cobro de tu suscripción y, en su caso, reembolsos	Ejecución de un contrato (art. 6.1.b)
Atender solicitudes de soporte y comunicaciones sobre el Servicio	Ejecución de un contrato / interés legítimo (art. 6.1.b y f)
Enviar comunicaciones comerciales sobre novedades del Servicio	Consentimiento del interesado (art. 6.1.a), revocable en cualquier momento
Prevenir el fraude y garantizar la seguridad de la plataforma	Interés legítimo (art. 6.1.f)

5. Destinatarios de los datos

Tus datos podrán ser comunicados a los siguientes destinatarios, únicamente en la medida necesaria para cada finalidad:

• Agencia Estatal de Administración Tributaria (AEAT), como destinataria legalmente obligada de los registros de facturación remitidos mediante VeriFactu.
• Proveedores de pago (actualmente PayPal), para la gestión de los cobros de la suscripción.
• Proveedores tecnológicos que actúan como encargados del tratamiento (alojamiento del servidor, copias de seguridad cifradas, envío de correos electrónicos transaccionales), sujetos a contrato de encargo de tratamiento conforme al artículo 28 RGPD.

No se realizan cesiones de datos a terceros con fines publicitarios. Cuando alguno de los proveedores anteriores se encuentre fuera del Espacio Económico Europeo, la transferencia internacional se ampara en las garantías previstas en el Capítulo V del RGPD (por ejemplo, cláusulas contractuales tipo o decisión de adecuación de la Comisión Europea).

6. Medidas de seguridad

Aplicamos medidas técnicas y organizativas apropiadas al riesgo, entre otras: cifrado de contraseñas mediante funciones hash, cifrado en tránsito (HTTPS/TLS) de todas las comunicaciones, cifrado en reposo de certificados digitales y demás secretos, aislamiento de datos por empresa/tenant en nuestra base de datos, control de acceso basado en roles, registro de actividad (auditoría) sobre las operaciones más sensibles (facturas, certificados, usuarios) y copias de seguridad periódicas cifradas.

7. Plazo de conservación

Conservamos tus datos mientras mantengas una cuenta activa en Cuadrio y, tras su baja, durante los plazos exigidos por la normativa aplicable. En particular, los registros de facturación generados y remitidos a la AEAT deben conservarse conforme a la normativa mercantil y tributaria (con carácter general, un mínimo de 4 a 6 años desde su generación, sin perjuicio de plazos superiores previstos en otra normativa), aun cuando hayas dado de baja tu cuenta o eliminado tu certificado digital.

8. Tus derechos

Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, así como retirar el consentimiento prestado, dirigiéndote a [EMAIL_CONTACTO], adjuntando copia de un documento que acredite tu identidad. Asimismo, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es) si consideras que el tratamiento de tus datos no se ajusta a la normativa vigente.

9. Menores de edad

Cuadrio está destinado a profesionales, autónomos y empresas, por lo que no está dirigido a menores de edad. No recopilamos conscientemente datos de menores de 18 años.

10. Cambios en esta política

Podemos actualizar esta Política de Privacidad para adaptarla a novedades legislativas o cambios en el Servicio. Te notificaremos los cambios sustanciales a través de la propia aplicación o por correo electrónico con antelación razonable a su entrada en vigor.