Política de privacidad de NIVO
Borrador: los datos resaltados están pendientes de completar. Este texto todavía no es definitivo.
Última actualización: [PENDIENTE: fecha de publicación]
En esta política explicamos qué datos personales tratamos cuando utilizas NIVO, para qué, durante cuánto tiempo y qué derechos tienes, de acuerdo con el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) y la Ley 34/2002 de servicios de la sociedad de la información y de comercio electrónico (LSSI-CE).
1. Responsable del tratamiento
- Titular: [PENDIENTE: nombre y apellidos o razón social]
- NIF: [PENDIENTE]
- Domicilio: [PENDIENTE: dirección postal completa]
- Correo electrónico de contacto en materia de privacidad: [PENDIENTE]
- Delegado de protección de datos: [PENDIENTE: indicar si se ha designado y sus datos de contacto; si no es obligatorio, indicar «No se ha designado»]
2. Dos papeles distintos: tus datos de usuario y los datos que registras en NIVO
NIVO es una herramienta de gestión financiera para profesionales y empresas. Por eso tratamos datos personales en dos condiciones diferentes:
- Como responsable del tratamiento, de los datos de las personas usuarias de NIVO: los necesarios para crear y proteger tu cuenta y prestarte el servicio.
- Como encargado del tratamiento, de los datos personales que tú (o tu empresa) registras en NIVO sobre terceros: clientes, proveedores y otros contactos, y los movimientos, cobros y pagos asociados. En este caso, el responsable es tu empresa o tú como profesional. NIVO solo los trata para prestarte el servicio, siguiendo tus instrucciones, según el contrato de encargo del tratamiento ([PENDIENTE: referencia al contrato de encargo del tratamiento, art. 28 RGPD]). Las personas afectadas deben dirigir el ejercicio de sus derechos a dicho responsable.
3. Qué datos tratamos como responsable
| Categoría | Datos | Origen |
|---|---|---|
| Identificación y contacto | Correo electrónico y, en su caso, nombre | Facilitados por ti o por la empresa que te da de alta |
| Credenciales y seguridad | Contraseña (guardada cifrada por el proveedor de autenticación, nunca en claro), factor de verificación en dos pasos (TOTP), sesiones activas | Generados al usar el servicio |
| Pertenencia a la empresa | Empresa a la que perteneces y tu papel (propietario, administrador, miembro o solo lectura) | Facilitados por la empresa |
| Registro de actividad | Quién creó, modificó o anuló cada registro y cuándo (registro de auditoría) | Generados al usar el servicio |
| Solicitudes de privacidad | Solicitudes de supresión y su motivo, si lo indicas | Facilitados por ti |
| Datos técnicos | Cookies técnicas de sesión (ver apartado 10) y los datos técnicos de conexión que registren los proveedores de infraestructura | Generados al usar el servicio |
No tratamos categorías especiales de datos ni utilizamos tus datos para publicidad. No hay decisiones automatizadas ni elaboración de perfiles con efectos jurídicos.
4. Finalidades y bases jurídicas
| Finalidad | Base jurídica (art. 6.1 RGPD) |
|---|---|
| Crear y gestionar tu cuenta y prestar el servicio contratado | Ejecución del contrato (letra b) |
| Proteger el acceso: verificación en dos pasos obligatoria, aislamiento de los datos de cada empresa y registro de auditoría | Interés legítimo en la seguridad del servicio y de los datos (letra f) y obligación de aplicar medidas de seguridad (art. 32 RGPD) |
| Comunicaciones necesarias sobre el servicio (acceso, recuperación de contraseña, avisos de seguridad) | Ejecución del contrato (letra b) |
| Facturación del servicio y cumplimiento de obligaciones contables y fiscales | Obligación legal (letra c) |
| Atender el ejercicio de tus derechos | Obligación legal (letra c) |
Facilitar tu correo electrónico, una contraseña y el segundo factor es necesario para utilizar NIVO. Sin ellos no es posible prestar el servicio.
5. Conservación
- Datos de la cuenta: mientras la cuenta esté activa.
- Tras la baja o una solicitud de supresión: se suprimen los datos que no sea necesario conservar. Los que deban mantenerse por obligación legal o para la formulación, el ejercicio o la defensa de reclamaciones quedan bloqueados durante los plazos de prescripción aplicables y después se suprimen.
- Ejemplos: los datos de facturación del servicio (seis años según el art. 30 del Código de Comercio; cuatro años de prescripción tributaria según el art. 66 de la Ley General Tributaria).
- [PENDIENTE: confirmar los plazos con el asesor].
- Registro de auditoría: [PENDIENTE: definir plazo; NIVO lo conserva actualmente sin plazo de supresión automática].
- Solicitudes de supresión: se conservan como prueba de su tramitación durante [PENDIENTE: plazo].
- Copias de seguridad: copias cifradas diarias conservadas 30 días y una copia mensual conservada 12 meses, que se eliminan automáticamente.
- Datos registrados por tu empresa (encargo del tratamiento): durante la vigencia del contrato. Al terminar, se devuelven o suprimen según las instrucciones del responsable, salvo los que deban conservarse por obligación legal ([PENDIENTE: detallar en el contrato de encargo]).
6. Destinatarios y encargados del tratamiento
No cedemos tus datos a terceros, salvo obligación legal. Para prestar el servicio utilizamos los siguientes proveedores, que actúan como encargados del tratamiento con contrato conforme al art. 28 RGPD:
| Proveedor | Servicio | Ubicación de los datos |
|---|---|---|
| Supabase, Inc. | Base de datos y autenticación | Unión Europea (Irlanda, región eu-west-1) |
| Vercel Inc. | Alojamiento de la aplicación web | Unión Europea (Dublín, Irlanda) [PENDIENTE: confirmar al contratar] |
| [PENDIENTE: proveedor de correo electrónico (SMTP)] | Envío de correos del servicio | [PENDIENTE] |
| Cloudflare, Inc. (R2) | Almacenamiento de copias de seguridad cifradas | Unión Europea (jurisdicción UE de Cloudflare R2) |
7. Transferencias internacionales
Los datos se almacenan en la Unión Europea. Algunos proveedores son empresas con sede en Estados Unidos y podrían acceder a ellos, por ejemplo para soporte técnico. En ese caso, la transferencia se ampara en [PENDIENTE: confirmar en el contrato de cada proveedor la garantía aplicable: decisión de adecuación (Marco de Privacidad de Datos UE‑EE. UU.) y/o cláusulas contractuales tipo de la Comisión Europea]. Puedes solicitar información sobre estas garantías en la dirección de contacto del apartado 1.
8. Seguridad
Aplicamos medidas técnicas y organizativas adecuadas al riesgo, entre ellas:
- Verificación en dos pasos (TOTP) obligatoria para acceder a los datos, exigida también por la propia base de datos.
- Aislamiento de los datos de cada empresa mediante seguridad a nivel de fila en la base de datos.
- Conexiones cifradas (HTTPS) y cabeceras de seguridad, incluida una política de seguridad de contenidos estricta.
- Contraseñas robustas (mínimo 12 caracteres con mayúsculas, minúsculas, números y símbolos).
- Sesiones limitadas: se cierran tras 60 minutos de inactividad y, en todo caso, 12 horas después de iniciarlas, con un aviso un minuto antes. Al cerrarse, se ocultan los datos en pantalla y la sesión se revoca en el servidor.
- Registro de auditoría de los cambios.
- Los cobros, pagos y transferencias no se editan ni se borran: se anulan con motivo, quedando constancia de quién y cuándo.
- Copias de seguridad diarias cifradas antes de salir del servidor; solo el titular conserva la clave para descifrarlas.
9. Tus derechos
Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar en cualquier momento el consentimiento que hayas prestado, si lo hubiera.
- Desde NIVO: en Ajustes → Tus datos puedes descargar una copia de tus datos (formato JSON, estructurado y reutilizable) y solicitar la supresión de tu cuenta.
- Por correo electrónico: escribiendo a [PENDIENTE: correo de contacto]. Indica qué derecho ejerces. Podremos pedirte información adicional para confirmar tu identidad.
Responderemos en el plazo de un mes, ampliable en dos meses más en casos complejos, como prevé el art. 12 RGPD.
Si consideras que no hemos atendido correctamente tus derechos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan, 6, 28001 Madrid; www.aepd.es).
10. Cookies y almacenamiento local
NIVO solo utiliza elementos técnicos estrictamente necesarios o solicitados expresamente por ti. Por eso, conforme al art. 22.2 LSSI-CE, no requieren consentimiento. No utilizamos cookies analíticas, publicitarias ni de terceros.
| Nombre | Tipo | Finalidad | Duración |
|---|---|---|---|
sb-…-auth-token (puede dividirse en partes .0, .1…) | Cookie propia, técnica | Mantener tu sesión iniciada de forma segura | Hasta que cierres sesión; como máximo, 12 horas |
sb-…-auth-token-code-verifier | Cookie propia, técnica | Completar de forma segura la recuperación de contraseña | Solo durante ese proceso |
nivo-actividad | Cookie propia, técnica (no accesible desde el navegador) | Registrar la hora de tu última actividad para cerrar la sesión tras 60 minutos de inactividad | Como máximo, 12 horas; se borra al cerrar sesión |
nivo-sesion | Cookie propia, técnica | Saber cuándo caduca la sesión para avisarte un minuto antes | Como máximo, 12 horas; se borra al cerrar sesión |
theme | Almacenamiento local del navegador | Recordar el tema claro u oscuro que elijas | Hasta que lo borres |
Si en el futuro se incorporan cookies que requieran consentimiento, actualizaremos esta política y te lo solicitaremos antes de instalarlas.
11. Menores
NIVO es un servicio para profesionales y empresas y no está dirigido a menores de 14 años.
12. Cambios en esta política
Si modificamos esta política, publicaremos la nueva versión con su fecha. Si los cambios son relevantes, te avisaremos por correo electrónico o dentro de la aplicación.