Política de privacidad

Última actualización: 19 de octubre de 2026

*Versión publicada con antelación; en vigor desde el 19 de octubre de 2026.*

Esta política explica qué datos personales tratamos en GestoFlou (gestoflou.com y la herramienta app.gestoflou.com), para qué, cuánto tiempo y qué derechos tienes. Se aplica a quienes visitan la web, a los profesionales que usan el servicio y a los despachos con los que contactamos comercialmente.

GestoFlou trata dos tipos de datos con papeles distintos:

• Los de las personas que usan o conocen el servicio. Ahí decidimos nosotros: somos responsables.
• Los que aparecen en los documentos que cada asesoría sube por cuenta de sus clientes. Ahí decide la asesoría y nosotros somos encargados (apartado 6).

1. Quién trata tus datos

Para cualquier cuestión de privacidad, escribe a hola@gestoflou.com, un buzón de la sociedad que no depende de una persona concreta. No hemos designado delegado de protección de datos porque, en nuestro caso, no es obligatorio (art. 37 RGPD y art. 34 LOPDGDD).

2. Datos que tratamos como responsables

Al terminar cada plazo, suprimimos los datos o los anonimizamos de forma irreversible.

Puedes oponerte al seguimiento comercial y a la prospección en cualquier momento, sin justificarlo y gratis: dilo en la propia llamada, responde al correo o escribe a hola@gestoflou.com. Atendida la oposición, no volveremos a contactarte con esa finalidad. Cada comunicación comercial incluye, además, una forma sencilla de darte de baja.

¿De dónde salen tus datos? Los datos de usuarios y visitantes los obtenemos de ti (o de Google, si eliges entrar con tu cuenta de Google); solo los de prospección proceden de las otras fuentes indicadas. Si tus datos proceden de esas fuentes, te lo indicaremos en el primer contacto, con un enlace a esta política.

¿Es obligatorio darnos tus datos? Los campos marcados como obligatorios en los formularios son necesarios para atender tu consulta, darte de alta o prestarte el servicio; si no los facilitas, no podremos hacerlo. El resto son voluntarios.

Copias de seguridad. Desde el 19 de octubre de 2026, los datos de este apartado que están en la base de datos del servicio (entre ellos los de tu cuenta y la constancia de aceptación de los textos legales) se incluyen en las copias de seguridad cifradas del servicio. Cuando se suprimen, por cualquier vía, desaparecen de esas copias como máximo 45 días después. Las garantías de esas copias están en el apartado 7.

Cookies. No usamos cookies de terceros, analítica ni rastreadores publicitarios: solo el almacenamiento técnico necesario para que el servicio funcione. El detalle está en la Política de cookies.

3. Con quién compartimos tus datos

No cedemos tus datos a terceros, salvo obligación legal. Para prestar el servicio trabajamos con proveedores que tratan datos por nuestra cuenta, con contrato conforme al art. 28 RGPD. Son de estas categorías:

• Alojamiento, base de datos y almacenamiento de ficheros, en la Unión Europea.
• Inteligencia artificial, para procesar los documentos y para los asistentes de texto.
• Envío de correo, desde la Unión Europea.
• Pagos, para cobrar la suscripción.
• Monitorización de errores, en la Unión Europea y con los datos personales depurados antes del envío.
• Copias de seguridad cifradas, en la Unión Europea (desde el 19 de octubre de 2026).
• Gestión comercial: CRM y automatización de procesos.

La relación nominal de los proveedores que tratan datos por cuenta de las asesorías está en la lista de subencargados. Puedes pedir en hola@gestoflou.com la identidad concreta de cualquier destinatario de tus datos.

4. Transferencias internacionales

Lo que está en la Unión Europea es el alojamiento de los datos. Algunos proveedores (los de inteligencia artificial, los asistentes, los pagos y, en su caso, el CRM) tratan datos fuera del Espacio Económico Europeo, principalmente en EE. UU. Además, los de alojamiento, correo y monitorización de errores, que guardan los datos en la Unión Europea, pueden acceder a ellos desde fuera del Espacio Económico Europeo para darnos soporte.

Esas transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está certificado, o en cláusulas contractuales tipo de la Comisión Europea (art. 46.2.c RGPD), con las medidas complementarias que hagan falta. El mecanismo de cada proveedor que trata datos por cuenta de las asesorías figura en la lista de subencargados. El de los demás destinatarios, incluido el CRM, te lo facilitamos en hola@gestoflou.com, donde también puedes pedir copia de las garantías.

Para procesar documentos solo usamos proveedores de la Unión Europea o de EE. UU. Nunca proveedores establecidos en China.

5. Inteligencia artificial

• Para qué la usamos. GestoFlou usa inteligencia artificial para leer los documentos y proponer sus datos. Las facturas electrónicas en formato estructurado válido se leen sin enviarse a proveedores de IA.
• Quién decide. El profesional de la asesoría revisa, valida y corrige siempre la propuesta antes de usarla. No tomamos decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos sobre ti o te afecten de forma significativa (art. 22 RGPD).
• Sin entrenamiento. Solo trabajamos con proveedores de IA que se comprometen a no usar los datos para entrenar sus modelos.
• Retención cero. En la extracción solo usamos proveedores que se comprometen, además, a no guardar el contenido de los documentos (retención cero).
• Asistentes. Los asistentes de texto de la web y de la herramienta se identifican como inteligencia artificial. No se les envían documentos ni datos extraídos de ellos.

6. Datos de los clientes de las asesorías

Cuando una asesoría sube a GestoFlou los documentos de sus clientes, los tratamos por su cuenta. Ese tratamiento lo rige el Contrato de encargo del tratamiento, no esta política.

• Quién responde. La asesoría (y, en su caso, su cliente) es la responsable: decide para qué se usan los datos, cuenta con la base jurídica para tratarlos —también la del art. 9 RGPD si en una nómina aparecen datos especiales— e informa a las personas afectadas (art. 14 RGPD). Nosotros solo seguimos sus instrucciones y la asistimos en lo que nos corresponde.
• Tus derechos sobre esos datos se ejercen ante la asesoría. Si nos llega una solicitud, se la trasladamos.
• Qué pueden contener. Datos identificativos, económicos (importes, IBAN, movimientos) y laborales.
• Dónde se guardan. Los documentos se guardan alojados en la Unión Europea, en almacenamiento privado. Los que llegan por el buzón de correo de la asesoría pasan directamente a ese almacenamiento; el servidor que recibe el correo no conserva buzones ni copias. Las copias de trabajo que se generan al procesarlos son temporales: los originales del lote se suprimen al eliminarlo o cuando la asesoría lo pide y, en todo caso, 14 días después de terminar su procesado; los datos extraídos, en cuanto el navegador del usuario los recoge.
• El archivo. El archivo documental es accesible tanto por la gestoría como por su cliente final desde el portal. Se conserva de forma indefinida mientras la asesoría sea cliente: no se borra nada por antigüedad. Cada plan tiene una capacidad de archivo; alcanzarla no suprime nada.
• Al causar baja, la asesoría dispone de 60 días naturales para descargar su archivo completo con la descarga masiva en ZIP con manifiesto que ofrece el propio Servicio. Se le avisa al darse de baja y se le recuerda cuando falten 15 días. Transcurrido el plazo, los datos se suprimen, y desaparecen de las copias de seguridad cifradas como máximo 45 días después.
• Copias de seguridad. Los documentos y los datos de las asesorías también se incluyen en las copias de seguridad cifradas del apartado 7, con los mismos plazos y garantías.
• Plazos propios de la asesoría. Sus obligaciones de conservación (entre otras, cuatro años del art. 66 de la Ley General Tributaria y seis del art. 30 del Código de Comercio) no las cubre el Servicio tras la baja: le corresponde descargar el archivo a tiempo. El Servicio también permite exportar ficheros e informes, y lo guardado en el navegador del usuario queda bajo su control.
• Subencargados. Los proveedores que intervienen están en la lista de subencargados. Cualquier alta o sustitución se comunica a la asesoría por correo electrónico con 15 días naturales de antelación, y la asesoría puede oponerse (art. 28.2 RGPD).

7. Copias de seguridad

Este apartado se aplica a todos los datos del Servicio: los tuyos y los de los clientes de las asesorías.

Copias de seguridad cifradas del Servicio (desde el 19 de octubre de 2026): cada día se hace una copia de seguridad cifrada del Servicio. Se cifra antes de salir de nuestra infraestructura, con una clave que no se entrega al proveedor que la custodia, Hetzner Online GmbH (Alemania, UE), que no puede leer su contenido. Lo que se suprime en el Servicio, por cualquier vía, desaparece de todas las copias cifradas como máximo 45 días después. Las copias solo se usan para recuperar el Servicio tras un incidente y para comprobar periódicamente, en un entorno aislado de la Unión Europea que se suprime al terminar, que esa recuperación es posible. Si hubiera que restaurar el Servicio desde una copia, antes de reabrirlo volveremos a aplicar las supresiones posteriores a esa copia de las que quede constancia.

8. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo (art. 32 RGPD), entre ellas: comunicaciones cifradas, control de acceso para que cada asesoría solo vea sus propios datos, almacenamiento privado en la Unión Europea, gestión segura de credenciales y claves, y minimización de datos. Si se produce una violación de seguridad que suponga un riesgo para tus derechos, la notificaremos a la AEPD y, cuando proceda, a las personas afectadas (art. 33 y 34 RGPD).

9. Tus derechos

Puedes ejercer, gratis, estos derechos sobre los datos que tratamos como responsables:

• Acceso: saber qué datos tuyos tratamos y obtener una copia.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: pedir que borremos tus datos cuando, entre otros motivos, ya no sean necesarios.
• Oposición: oponerte al tratamiento basado en interés legítimo y, en cualquier momento y sin justificarlo, al que tenga fines comerciales.
• Limitación: pedir que suspendamos el tratamiento en los casos previstos por la ley.
• Portabilidad: recibir tus datos en un formato estructurado y de uso común, y transmitirlos a otro responsable.
• No ser objeto de decisiones automatizadas con efectos jurídicos o significativos (art. 22 RGPD). No las tomamos.
• Retirar tu consentimiento cuando el tratamiento se base en él, sin que afecte a lo hecho antes.

Escribe a hola@gestoflou.com indicando qué derecho quieres ejercer. Podemos pedirte que acredites tu identidad. Respondemos en un mes como máximo; si las solicitudes son especialmente complejas o numerosas, el plazo puede ampliarse dos meses más, y te lo diremos dentro del primer mes, con el motivo (art. 12.3 RGPD).

Si crees que no hemos tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (C/ Jorge Juan, 6, 28001 Madrid; www.aepd.es).

10. Cambios en esta política

Podemos actualizar esta política por cambios legales o del servicio. La versión vigente estará siempre en esta página, con su fecha, y te avisaremos de los cambios importantes.