Política de Privacidad
Qué datos tratamos, para qué, quién los recibe y cómo ejercer tus derechos, conforme al RGPD y a la Ley Orgánica 3/2018.
Última actualización: 1 de noviembre de 2026
1. Responsable del tratamiento
Responsable: David Melnic [PENDIENTE: confirmar el titular legal; si opera una sociedad, indicar su denominación social]
NIF: [PENDIENTE: NIF del responsable]
Dirección postal: [PENDIENTE: dirección postal]
Correo electrónico: david@firmia.app
Delegado de protección de datos: [PENDIENTE: indicar si se ha designado y sus datos de contacto o, si no, que no se ha designado]
Si introduces datos de tus clientes u otras personas para tu actividad profesional, tú eres el responsable de esos datos y Firmia actúa como encargado. Ese tratamiento se rige por el Encargo de Tratamiento. Esta política cubre los datos de los que Firmia es responsable, e informa a esas otras personas en la sección 9.
2. Datos que tratamos
- Cuenta: nombre, correo electrónico, contraseña cifrada de forma irreversible (bcrypt), plan contratado, fecha de aceptación de los términos e imagen de perfil si entras con Google.
- Contenido que creas: respuestas a formularios, contratos, reclamaciones, facturas, fichas de clientes, tu firma y los resultados del análisis de contratos. Del documento que subes para analizar guardamos el nombre del archivo y el resultado, no el documento completo.
- Pago: identificadores de cliente y de suscripción de Stripe. No recibimos el número de tu tarjeta.
- Uso: eventos internos como el alta o la generación de un contrato, con su tipo y tu plan, y el recuento de llamadas a la IA por usuario.
- Técnicos: dirección IP para limitar peticiones abusivas en el registro, el formulario de contacto y la recuperación de contraseña, registros técnicos del servidor y las señales que analiza Cloudflare Turnstile en esos formularios (sección 5).
- Contacto: lo que nos escribes por correo electrónico o en los formularios de contacto y de comentarios: nombre, correo electrónico, asunto y mensaje.
Los datos de la cuenta y el contenido son necesarios para prestar el servicio: sin ellos no podemos crear tu cuenta ni generar documentos. No pidas ni introduzcas datos que no hagan falta para el documento, y evita las categorías especiales de datos (salud, ideología, etc.) salvo que sean imprescindibles.
3. Finalidades y base jurídica
| Finalidad | Base jurídica (art. 6.1 RGPD) |
|---|---|
| Crear y gestionar la cuenta y prestar el servicio, incluida la generación con IA y el envío de documentos que solicitas | Ejecución del contrato (letra b) |
| Cobrar la suscripción | Ejecución del contrato (letra b) |
| Conservar la documentación contable y fiscal de Firmia | Obligación legal (letra c) |
| Proteger el servicio: límites de peticiones, detección de programas automáticos y seguridad | Interés legítimo en mantener el servicio seguro (letra f) |
| Evitar que quien eliminó su cuenta tras usar el contrato gratuito obtenga otro, conservando solo una huella cifrada de su correo | Interés legítimo en prevenir abusos del plan gratuito (letra f) |
| Medir el uso de forma interna y atender comentarios | Interés legítimo en mejorar el servicio (letra f) |
| Responder a tus consultas y solicitudes | Ejecución del contrato (letra b) o interés legítimo en atenderte (letra f) |
Puedes oponerte a los tratamientos basados en interés legítimo (sección 8). No enviamos comunicaciones comerciales ni boletines. Si algún día lo hiciéramos, te pediríamos antes el consentimiento.
Al registrarte con correo y contraseña, solo te enviamos un mensaje para verificar tu dirección. La bienvenida y los demás avisos de tu cuenta llegan después de verificarla. Si entras con Google, Google ya la ha verificado. Para evitar cuentas falsas, al registrarte comprobamos que el dominio de tu correo admite mensajes y no es de un servicio de correo temporal (consultamos el dominio, no tu dirección), y guardamos una versión normalizada de tu dirección de Gmail, sin puntos ni etiquetas, para detectar cuentas duplicadas de un mismo buzón. El contrato gratuito requiere haber verificado el correo.
4. Uso de inteligencia artificial
- Qué hace: un modelo de IA de Anthropic redacta contratos y reclamaciones a partir de lo que escribes, prepara los formularios y analiza los contratos que subes. El texto se envía a Anthropic en claro para poder procesarlo.
- Entrenamiento: los términos comerciales de Anthropic prohíben entrenar modelos con este contenido, salvo que se le envíen comentarios o se autorice expresamente. Firmia no le envía comentarios. [PENDIENTE: confirmar en la consola de Anthropic que la organización no ha autorizado compartir datos para entrenamiento]
- Búsqueda legal: para buscar legislación aplicable usamos Voyage AI (sección 5), solo con consultas fijas por tipo de contrato, sin datos tuyos.
- Decisiones automatizadas: no tomamos decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos sobre ti o te afecten de forma significativa (art. 22 RGPD). La IA genera borradores y análisis que debes revisar tú o un profesional.
- Exactitud: la IA puede equivocarse. Firmia comprueba las citas legales contra la legislación consolidada del BOE, pero eso no sustituye la revisión.
5. Destinatarios y transferencias internacionales
Estos proveedores reciben datos personales para prestar el servicio. No vendemos datos ni los cedemos con fines publicitarios.
| Proveedor | Para qué y qué datos | Dónde | Garantía de la transferencia |
|---|---|---|---|
| Anthropic Anthropic Ireland, Limited (Irlanda) y Anthropic, PBC (EE. UU.) | Inteligencia artificial que redacta contratos y reclamaciones y analiza contratos subidos. Lo que escribes en formularios y descripciones, y el texto de los contratos que subes. Puede incluir nombres, DNI o NIF, domicilios, importes y cualquier otro dato que aparezca en ese texto. | Fuera del EEE. Su lista de subencargados indica infraestructura de Google Cloud, AWS y Azure en ubicaciones mundiales. | Cláusulas contractuales tipo de la UE (Decisión 2021/914, módulos 2 y 3), incorporadas en su acuerdo de encargo. |
| Supabase Supabase Pte. Ltd. (Singapur) | Base de datos donde se guarda todo el contenido del servicio. Todos los datos de la cuenta y todo el contenido que creas: contratos, reclamaciones, facturas, clientes, firmas y resultados de análisis. | Base de datos en Irlanda (AWS eu-west-1). Sus subencargados de soporte están principalmente en EE. UU.. | Cláusulas contractuales tipo de la UE (módulos 2 y 3), incorporadas en su acuerdo de encargo. |
| Vercel Vercel Inc. (EE. UU.) | Alojamiento de la web y ejecución de la aplicación. Todo lo que pasa por la aplicación, en tránsito, incluida la dirección IP. Registros técnicos que pueden contener el correo electrónico. | EE. UU. Las funciones se ejecutan en Washington D. C. (iad1). | Vercel Inc. declara estar certificada en el Marco de Privacidad de Datos UE-EE. UU. y figura en su lista oficial. Sus cláusulas contractuales tipo forman parte de un acuerdo de encargo que solo aplica a los planes Pro y Enterprise. [PENDIENTE: pasar al plan Pro de Vercel. El plan actual no incluye su acuerdo de encargo] |
| Resend Plus Five Five, Inc. (EE. UU.) | Envío de correos: verificación, contraseña, mensajes de contacto y comentarios, y los contratos, reclamaciones y facturas que decides enviar. Dirección del destinatario, asunto y contenido del correo. | Se envía desde Irlanda. Los datos de cuenta, los metadatos y los registros se guardan en EE. UU.. | Cláusulas contractuales tipo de la UE, incorporadas en su acuerdo de encargo. Resend declara estar certificada en el Marco de Privacidad de Datos UE-EE. UU.; su lista oficial la muestra activa, con la renovación en revisión. |
| Stripe Stripe Payments Europe, Limited (Irlanda) | Cobro de la suscripción a Firmia. El pago se hace en la página de Stripe. Correo electrónico, datos de pago y de la suscripción. Firmia no recibe ni guarda el número de tu tarjeta. | Irlanda, con transferencia a Stripe, LLC en EE. UU.. | Stripe declara que Stripe, LLC está certificada en el Marco de Privacidad de Datos UE-EE. UU., y figura en su lista oficial. También usa cláusulas contractuales tipo. |
| Google Google Ireland Limited (Irlanda) | Inicio de sesión con Google, solo si lo eliges. Firmia recibe de Google tu nombre, correo electrónico e imagen de perfil. Google sabe que has iniciado sesión en Firmia. | Irlanda, con posibles transferencias a Google LLC en EE. UU.. | Google declara que Google LLC está certificada en el Marco de Privacidad de Datos UE-EE. UU., y figura en su lista oficial. También usa cláusulas contractuales tipo. |
| Cloudflare Cloudflare, Inc. (EE. UU.) | Turnstile: comprobar que quien envía los formularios de registro, recuperación de contraseña, contacto y comentarios, o quien inicia la generación de un contrato, no es un programa automático. Dirección IP, huella técnica de la conexión y navegador. No recibe lo que escribes en el formulario. | Según Cloudflare, sus centros de datos de EE. UU. y Europa. No detalla la ubicación específica de Turnstile. | Cláusulas contractuales tipo de la UE, y Cloudflare, Inc. declara estar certificada en el Marco de Privacidad de Datos UE-EE. UU. y figura en su lista oficial. |
| ImprovMX ImprovMX Incorporated (EE. UU.) | Reenvío de los correos a direcciones @firmia.app, incluidos los mensajes de los formularios de contacto y comentarios. Remitente, destinatario, asunto y contenido de tu correo. | Recepción en Francia (AWS París). El envío posterior puede hacerse desde Francia o EE. UU.. | No está certificada en el Marco de Privacidad de Datos. Sus cláusulas contractuales tipo forman parte de su acuerdo de encargo. [PENDIENTE: indicar el buzón final al que se reenvían estos correos y confirmar que el acuerdo de encargo de ImprovMX está firmado] |
Puedes pedirnos una copia de las garantías en david@firmia.app. También pueden acceder a datos los destinatarios a quienes decidas enviar un documento, y las autoridades cuando lo exija la ley.
Voyage AI
Desde el 31 de octubre de 2026, Voyage AI (Voyage AI Innovations, Inc., EE. UU.) recibe solo consultas fijas por tipo de contrato y textos legales, sin datos personales. Hasta esa fecha recibió fragmentos de texto para hacer búsquedas: los primeros campos del formulario de cada contrato, la descripción escrita para generar un formulario y los primeros 500 caracteres de los contratos subidos para analizar. Esos fragmentos podían incluir nombres, documentos de identidad y domicilios. Sus condiciones permiten usar los datos recibidos para entrenar modelos salvo que se ejerza la exclusión. [PENDIENTE: confirmar si la exclusión está activada y desde qué fecha, y el resultado de pedir a Voyage el borrado de los datos anteriores]
6. Cuánto tiempo conservamos los datos
| Datos | Plazo |
|---|---|
| Cuenta | Hasta que la elimines. [PENDIENTE: decidir un plazo para eliminar cuentas inactivas; hoy no existe] |
| Huella cifrada del correo de una cuenta eliminada que había usado el contrato gratuito | 12 meses desde la baja. Después se borra en el proceso diario |
| Contratos y registro de sus aperturas | Hasta que los elimines o elimines la cuenta. Puedes activar el borrado automático a los 30, 90 o 365 días en Ajustes |
| Reclamaciones, análisis, facturas y clientes | Hasta que los elimines o elimines la cuenta |
| Texto de una generación en curso | Se borra al terminar la generación o con el contrato |
| Eventos de uso y recuento de llamadas a la IA | Hasta que elimines la cuenta |
| Dirección IP para límites de peticiones | Hasta que acaba el periodo del límite. Se borra en el proceso diario siguiente |
| Registros técnicos del servidor | 1 hora |
| Mensajes de contacto y comentarios | En el buzón de david@firmia.app, donde los recibimos. [PENDIENTE: decidir un plazo de borrado; hoy no existe] |
| Datos en poder de proveedores | Anthropic: 30 días como regla general. Resend: 30 días. ImprovMX: 7 días (sección 5) |
| Documentación contable y facturas de tu suscripción | 6 años (art. 30 del Código de Comercio) |
| Copias de seguridad de la base de datos | [PENDIENTE: indicar el plan de Supabase y el plazo de sus copias: 7, 14 o 30 días según plan] |
Al eliminar la cuenta en Ajustes, cancelamos antes tu suscripción en Stripe y borramos de inmediato de nuestra base de datos tu cuenta y todo tu contenido. Si llegaste a usar el contrato gratuito, lo único que conservamos durante 12 meses es una huella de tu correo: un código obtenido con una función criptográfica y una clave secreta, del que no se puede leer la dirección, que no está vinculado a ningún otro dato y que se usa solo para no conceder un segundo contrato gratuito a ese buzón. Sigue siendo un dato personal seudonimizado, y puedes oponerte a su conservación escribiéndonos con la dirección afectada (sección 8). Si no podemos cancelar la suscripción, no eliminamos la cuenta y te lo indicamos. Stripe conserva sus propios registros de pago. Si usas Firmia para facturar, descarga antes tus facturas: tú debes conservarlas durante los plazos legales, y una vez borradas no podemos recuperarlas.
7. Seguridad
Las medidas concretas que aplicamos, y sus límites, están en el anexo II del Encargo de Tratamiento.
8. Tus derechos
Puedes ejercer gratuitamente estos derechos, directamente o mediante representante:
- Acceso a tus datos y a una copia de ellos.
- Rectificación de datos inexactos.
- Supresión de tus datos.
- Limitación del tratamiento en los casos previstos en el RGPD.
- Portabilidad de los datos que nos facilitaste, en un formato estructurado.
- Oposición a los tratamientos basados en interés legítimo.
Escribe a david@firmia.app indicando el derecho que ejerces. Podremos pedirte que acredites tu identidad si tenemos dudas razonables. Responderemos en el plazo de un mes, ampliable dos meses más en casos complejos, y te lo avisaremos. También puedes corregir tus datos y eliminar tu cuenta en Ajustes.
Si crees que no hemos tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos: www.aepd.es.
9. Si tus datos aparecen en un documento de otra persona
Puede que alguien haya usado Firmia para preparar un contrato, una reclamación o una factura que te afecta, o que te lo haya enviado desde aquí. En ese caso, el responsable de tus datos es esa persona o empresa, y Firmia trata los datos por encargo suyo. Dirige a ella tus solicitudes. Si nos llegan a nosotros, se las remitiremos.
- Datos habituales y origen: los facilita esa persona o empresa. Suelen ser nombre, documento de identidad, domicilio, correo electrónico e importes.
- Si abres un contrato enviado con Firmia: registramos la fecha, tu dirección IP y tu navegador, y se lo mostramos a quien lo envió. Si lo firmas, guardamos tu firma y la fecha.
- Si abres un enlace de una reclamación: registramos la fecha de apertura y se la mostramos a quien la envió.
- Plazos: se conservan hasta que quien los introdujo los elimina o elimina su cuenta.
10. Menores
El servicio es solo para mayores de 18 años. Si detectamos datos de una cuenta de un menor, la eliminaremos.
11. Cookies
Solo usamos cookies técnicas, sin publicidad ni analítica. Los detalles están en la Política de Cookies.
12. Cambios
Si cambiamos algo importante, lo avisaremos por correo electrónico o en la plataforma antes de aplicarlo. La fecha de arriba indica la última revisión.