Términos del servicio

Última revisión: agosto de 2026

Estos términos regulan el uso de la aplicación Autonofactu (app.autonofactu.es), prestada por Pablo Rosón Fernández, NIF 34283903B (contacto: autonofactu@gmail.com). Al crear una cuenta aceptas estos términos, incluido el anexo de encargo de tratamiento. Si no estás de acuerdo, no uses la aplicación.

1. Qué es Autonofactu — y qué no es

Autonofactu es una herramienta para que autónomos que trabajan por sesiones (logopedas, fisioterapeutas, profesores particulares, psicólogos, nutricionistas y similares) registren clientes y sesiones, y generen sus facturas mensuales.

Autonofactu no es un sistema de historia clínica en el sentido de la Ley 41/2002, de autonomía del paciente. No debes usarlo como repositorio único de la historia clínica de tus pacientes, ni confiarle la conservación de documentación clínica: esa obligación, y su custodia, siguen siendo tuyas y debes cubrirlas con los medios que ya utilices para ello.

El campo de notas de cada sesión es una ayuda para recordar y justificar la sesión que vas a facturar, no un registro de evolución clínica. Sabemos que, según tu profesión, ahí puedes escribir información relacionada con la salud de tu cliente; por eso tratamos ese campo con las medidas reforzadas que se describen en el anexo de encargo de tratamiento, en lugar de pedirte que finjas que no existe.

2. Fase beta

Autonofactu está en fase beta: el uso es gratuito y sin límites de facturación, sin fecha de cobro fijada. Si en el futuro activamos un plan de pago, te avisaremos con antelación razonable antes de aplicarlo a tu cuenta; nunca empezaremos a cobrarte sin que lo sepas de antemano. Durante la beta, algunas funciones pueden cambiar, añadirse o retirarse mientras ajustamos el producto.

3. Tu cuenta

• Debes registrarte con datos veraces y mantener actualizado tu email de contacto.
• Eres responsable de la confidencialidad de tu contraseña y de toda actividad realizada desde tu cuenta. Avísanos si sospechas un acceso no autorizado.
• Puedes cerrar tu cuenta cuando quieras desde Ajustes o escribiéndonos. Al cerrarla, tus datos se eliminan según los plazos descritos en la política de privacidad, salvo lo que debamos conservar por obligación legal (p. ej. facturas ya emitidas).

4. Tus obligaciones como responsable de tus propios datos fiscales y de tus clientes

Tú decides qué datos registras sobre tus clientes y qué facturas emites; eres responsable de que esa información sea correcta y de cumplir tus propias obligaciones fiscales. Autonofactu te ayuda a generar facturas con numeración correlativa y los formatos habituales, pero no sustituye el asesoramiento de un gestor o asesoría fiscal. Concretamente:

• Escribe en las notas solo lo necesario para prestar y justificar tu servicio. No te pedimos que evites toda referencia a la salud —sería irreal en tu profesión—, sino que apliques el principio de minimización: lo imprescindible para saber qué hiciste y poder cobrarlo. Cuanto menos escribas, menor es el riesgo para tu paciente si algo saliera mal.
• Mantén tu historia clínica donde corresponda. Autonofactu no la sustituye (ver punto 1). Si tu profesión te obliga a llevarla y conservarla, esa obligación sigue siendo tuya y debes cumplirla con tus propios medios.
• Informa a tus clientes. Como responsable del tratamiento, te corresponde informarles de que usas una herramienta externa para gestionar sus datos y facturarles, y contar con la base jurídica adecuada para tratar sus datos de salud (normalmente, el art. 9.2.h RGPD para la asistencia sanitaria, o su consentimiento explícito).
• Si trabajas con menores, solo debes pedirles a sus tutores los datos imprescindibles para facturar (nombre y NIF del tutor, principalmente).
• Verifactu: a la fecha de estos términos, Autonofactu todavía no envía tus facturas al registro de la AEAT (Verifactu) de forma automática; te avisaremos con claridad en la aplicación cuando esa función esté activa. Hasta entonces, tus facturas se emiten con numeración correlativa y sin huecos, conforme a la normativa general de facturación, pero sin el registro Verifactu. Sigue siendo tu responsabilidad cumplir los plazos legales de adaptación.

5. Disponibilidad y limitación de responsabilidad

Trabajamos para que el servicio esté disponible de forma continua, con copias de seguridad cifradas diarias y monitorización, pero no podemos garantizar una disponibilidad del 100% ni la ausencia total de errores. En la medida permitida por la ley, no respondemos de daños indirectos derivados del uso del servicio. Nada en estos términos limita tus derechos como consumidor cuando la ley los reconozca de forma imperativa.

6. Propiedad intelectual

El software, diseño y marca de Autonofactu son propiedad del titular. Los datos que introduces sobre tu actividad y tus clientes son tuyos: puedes exportarlos en cualquier momento desde Ajustes y llevártelos si dejas de usar el servicio.

7. Modificación de estos términos

Podemos actualizar estos términos, sobre todo mientras el producto evoluciona en fase beta. Si el cambio es relevante te avisaremos por email o mediante un aviso en la aplicación antes de que entre en vigor.

8. Legislación aplicable

Estos términos se rigen por la legislación española. Para cualquier controversia serán competentes los juzgados y tribunales que correspondan conforme a derecho, sin perjuicio de los fueros que la normativa de consumidores reconozca a tu favor.

Anexo I — Encargo de tratamiento (art. 28 RGPD)

Este anexo regula el tratamiento que Autonofactu (el encargado) hace de los datos personales que tú, como usuario (el responsable), introduces sobre tus propios clientes al usar la aplicación. Forma parte de estos términos del servicio desde el momento en que creas una cuenta; no hace falta firmarlo aparte.

1. Objeto y duración

El encargado trata los datos por cuenta del responsable con el único fin de prestar el servicio de registro de clientes, sesiones y facturación descrito en estos términos. La duración del encargo coincide con la de tu cuenta activa; al cerrarla, se aplica lo descrito en el punto 6 de este anexo.

2. Naturaleza, finalidad y tipo de datos

Tratamiento por medios electrónicos, con la única finalidad de generar y conservar los registros de clientes, sesiones y facturas que tú introduces.

Datos de identificación y facturación: nombre, NIF/DNI, fecha de nacimiento, dirección, email y teléfono de tus clientes; en el caso de menores, los mismos datos de su tutor legal; fechas, horas y detalles de las sesiones prestadas; e importes y datos de tus facturas.

2 bis. Datos relativos a la salud (art. 9 RGPD)

Autonofactu se dirige, entre otros, a profesionales sanitarios y asimilados —logopedas, fisioterapeutas, psicólogos, nutricionistas—. Por eso asumimos expresamente que el tratamiento puede incluir datos relativos a la salud, y no te pedimos que declares lo contrario. Pueden aparecer por dos vías:

• De forma indirecta, aunque no escribas nada. El propio hecho de que una persona figure como cliente de un profesional sanitario, con sesiones periódicas de un servicio determinado, puede revelar que recibe ese tratamiento. Conforme a la jurisprudencia del Tribunal de Justicia de la UE, los datos que revelan indirectamente una categoría especial son categoría especial.
• De forma incidental, en el campo de notas, si escribes ahí información sobre la sesión o el estado del cliente.

En consecuencia, el encargado aplica a estos datos las medidas reforzadas descritas en el punto 7 y los trata con la misma confidencialidad que exige su naturaleza. Esta previsión no convierte a Autonofactu en un sistema de historia clínica (ver punto 1 de los términos): la custodia y conservación de la historia clínica siguen correspondiendo al responsable.

3. Categorías de interesados

Los clientes del responsable —que pueden ser pacientes o usuarios de servicios sanitarios o asimilados— y, en su caso, los tutores legales de los clientes menores de edad. El encargado es consciente de que entre los interesados puede haber menores de edad, y los trata como colectivo especialmente protegido.

4. Obligaciones del encargado

• Tratar los datos solo siguiendo las instrucciones documentadas del responsable (el propio uso normal de la aplicación) y solo para la finalidad de este anexo — nunca para fines propios.
• Garantizar que las personas autorizadas a tratar los datos se comprometen a confidencialidad.
• Aplicar las medidas de seguridad del artículo 32 RGPD descritas en el punto 7.
• No comunicar los datos a terceros, salvo a los subencargados autorizados en el punto 5 o por obligación legal.
• Ayudar al responsable a atender solicitudes de ejercicio de derechos de sus clientes (acceso, rectificación, supresión, etc.), en la medida en que la propia aplicación no permita ya gestionarlas directamente.
• Notificar al responsable, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos, con la información necesaria para que el responsable pueda cumplir su propia obligación de notificar a la Agencia Española de Protección de Datos en el plazo de 72 horas.
• Asistir al responsable en el cumplimiento de sus obligaciones de seguridad, notificación de brechas, evaluación de impacto (EIPD) y consulta previa (arts. 32 a 36 RGPD), poniendo a su disposición el análisis de riesgos y la información técnica del tratamiento que el encargado mantiene actualizados.
• Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir y contribuir a auditorías e inspecciones realizadas por el responsable o por un auditor que este designe, previa solicitud razonable y con una antelación de 30 días.
• No conservar los datos más allá de lo previsto en el punto 6, ni utilizarlos para entrenar sistemas, elaborar perfiles o cualquier finalidad distinta de la prestación del servicio.

5. Subencargados autorizados

El responsable autoriza con carácter general al encargado a recurrir a los siguientes subencargados, todos con las garantías exigidas por el art. 28 RGPD:

Si en el futuro Verifactu se activa, el proveedor de registro ante la AEAT que se contrate se añadirá a esta lista y se avisará en la aplicación. El encargado informará al responsable de cualquier cambio de subencargados con antelación razonable, dando la posibilidad de oponerse por motivos justificados.

6. Destino de los datos al finalizar

Al cerrar tu cuenta, puedes exportar todos tus datos antes del cierre desde Ajustes. Tras el cierre, los datos se suprimen conforme a los plazos de la política de privacidad, salvo lo que deba conservarse por obligación legal (fundamentalmente, las facturas ya emitidas, por la normativa fiscal de conservación).

7. Medidas de seguridad (art. 32 RGPD)

Al asumir que el tratamiento puede incluir datos de salud (punto 2 bis), estas son las medidas concretas que aplicamos. Las enumeramos con detalle a propósito: una lista genérica no permite al responsable valorar si son adecuadas.

• Aislamiento entre cuentas. Cada usuario solo puede acceder a los datos de su propia organización. Es la medida más importante de todas y está verificada con una batería automatizada que, en cada cambio del código, intenta acceder a los datos de una cuenta desde otra por todas las vías de la aplicación.
• Cifrado en tránsito. TLS/HTTPS obligatorio en toda la aplicación, con HSTS.
• Contraseñas. Almacenadas con derivación criptográfica irreversible (PBKDF2-SHA256, 1.000.000 de iteraciones). No son recuperables ni por nosotros.
• Copias de seguridad cifradas. Diarias, cifradas en origen con AES-256 antes de salir del servidor, en un proveedor distinto al del alojamiento. La restauración se prueba de forma periódica; no basta con que la copia exista.
• Base de datos no expuesta. Accesible solo desde el propio servidor, nunca desde internet, y con un usuario sin privilegios de administración.
• Archivos privados. Las fotos de cliente y documentos adjuntos no son accesibles por URL directa: cada descarga comprueba que quien la pide pertenece a la organización propietaria.
• Control de fuerza bruta. Límite de intentos en el inicio de sesión, registro y recuperación de contraseña.
• Registro de eventos de seguridad (accesos fallidos, cambios de contraseña) con retención máxima de 90 días.
• Integridad de las facturas. Cadena de huellas SHA-256 encadenadas, verificada automáticamente cada día, que detecta cualquier alteración posterior de una factura emitida.
• Verificación de email en el alta y sesiones con cookies seguras.

Qué no está cifrado, dicho con claridad: el disco del servidor no utiliza cifrado en reposo. Los datos están protegidos frente a accesos por red mediante las medidas anteriores, y las copias de seguridad sí viajan y se almacenan cifradas; pero la protección del soporte físico depende hoy de los controles del proveedor de alojamiento (Hetzner, Alemania, UE) y no de una capa propia. Lo indicamos porque el responsable necesita conocerlo para valorar su propio riesgo.

Estas medidas se revisan de forma periódica y se refuerzan cuando el análisis de riesgos lo aconseja. El responsable puede solicitar el análisis de riesgos actualizado escribiendo a autonofactu@gmail.com.