Política de privacidad

Última revisión: agosto de 2026

1. Responsable del tratamiento

Responsable: Pablo Rosón Fernández, NIF 34283903B. Contacto: autonofactu@gmail.com. Autonofactu se encuentra en fase beta y aún no presta servicios de pago; el domicilio a efectos de notificación se incorporará con el alta de la actividad.

2. Qué datos tratamos y para qué

En este sitio web (autonofactu.es): no recogemos datos personales. No hay formularios ni cookies. Si nos escribes por email trataremos tu dirección y el contenido del mensaje solo para responderte (base jurídica: interés legítimo en atender tu consulta). Si activamos medición de audiencia será mediante analítica agregada y anónima, sin cookies ni identificación de personas.

En la aplicación (app.autonofactu.es): al crear una cuenta tratamos tu email, tu nombre, tu teléfono (opcional) y tu contraseña (almacenada de forma cifrada e irreversible), para prestarte el servicio (base jurídica: ejecución del contrato). Los registros de seguridad (dirección IP, usuario y evento) se conservan un máximo de 90 días por interés legítimo en proteger el servicio.

3. Los datos de tus clientes: tú responsable, nosotros encargados

Los datos que introduces en la aplicación sobre tus propios clientes (nombre, NIF, dirección, datos del tutor en el caso de menores, sesiones y facturas) los tratas tú como responsable del tratamiento; Autonofactu actúa como encargado del tratamiento (art. 28 RGPD) y solo los usa para prestarte el servicio, siguiendo tus instrucciones. Puedes solicitarnos el contrato de encargo de tratamiento escribiendo a autonofactu@gmail.com.

Datos de salud: lo asumimos, no lo negamos

Autonofactu se dirige, entre otros, a logopedas, fisioterapeutas, psicólogos y nutricionistas. Por eso asumimos que los datos que tratas pueden ser datos relativos a la salud (art. 9 RGPD), tanto si escribes algo en las notas como si no: el simple hecho de que una persona figure como paciente tuyo, con sesiones periódicas, ya revela información sobre su salud.

Como encargados, aplicamos a esos datos medidas reforzadas, que detallamos una a una —incluido lo que no está cifrado— en el anexo de encargo de tratamiento. Como responsable, a ti te corresponde informar a tus clientes y contar con la base jurídica adecuada para tratar sus datos.

Lo que Autonofactu no es: un sistema de historia clínica. No lo uses como repositorio único de la documentación clínica de tus pacientes; esa custodia sigue siendo tuya. El campo de notas es una ayuda para recordar y justificar la sesión que vas a facturar. Escribe en él solo lo necesario: cuanto menos guardes, menor es el riesgo para tu paciente.

4. Destinatarios y encargados

• Hetzner Online GmbH (Alemania, UE): alojamiento de la aplicación.
• Backblaze Inc. (región EU, Ámsterdam): copias de seguridad cifradas. Backblaze es una empresa estadounidense; el envío de estas copias a su región europea se ampara en cláusulas contractuales tipo (garantía RGPD para transferencias fuera de la UE).
• Brevo (Francia, UE): envío de emails del servicio (verificación, recuperación de contraseña, facturas a tus clientes).
• Google: solo si eliges iniciar sesión con Google (autenticación); no accede a los datos de tus clientes.

El detalle de cada encargado y su contrato de encargo de tratamiento está en el anexo de encargo de tratamiento de los Términos del servicio. No vendemos ni cedemos datos a terceros con fines comerciales.

5. Cuánto tiempo conservamos los datos

• Cuenta de usuario: mientras la cuenta exista y hasta 30 días después de su cierre.
• Facturas emitidas: durante los plazos de conservación que exige la normativa fiscal, aunque se elimine el cliente.
• Registros de seguridad: máximo 90 días.

6. Tus derechos

Puedes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad escribiendo a autonofactu@gmail.com. Desde la propia aplicación puedes exportar todos tus datos en cualquier momento. Si crees que no hemos tratado tus datos correctamente, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

7. Seguridad

Toda la comunicación va cifrada (TLS/HTTPS con HSTS). Cada cuenta está aislada de las demás, y ese aislamiento se comprueba de forma automatizada en cada cambio del código. Las contraseñas se guardan con derivación criptográfica irreversible. Las copias de seguridad son diarias y se cifran con AES-256 antes de salir del servidor, en un proveedor distinto al del alojamiento, y su restauración se prueba periódicamente. La base de datos no está expuesta a internet. Las facturas emitidas llevan una cadena de huellas SHA-256 que se verifica cada día.

Con la misma claridad: el disco del servidor no está cifrado en reposo. Esa protección depende hoy de los controles del proveedor de alojamiento (Hetzner, Alemania, UE). El listado completo de medidas está en el anexo de encargo de tratamiento.