Política de Privacidad

1. Identidad del responsable del tratamiento y ámbito de aplicación

La presente Política de Privacidad regula el tratamiento de datos personales realizado en el marco del sitio web bongofact.es y del servicio SaaS B2B “BongoFact” (en adelante, el “Servicio”), prestado por AULAVENTURA SL, con CIF B18866889 y domicilio en CALLE ALBAHACA 6, GRANADA, 18006 (en adelante, “BongoFact” o el “Responsable”), en los supuestos en que BongoFact actúe como responsable del tratamiento (por ejemplo, datos de contacto y cuenta de usuario, administración de la relación contractual, facturación propia, soporte y comunicaciones operativas). Cuando, por la propia naturaleza del Servicio, BongoFact trate datos personales por cuenta del cliente usuario profesional (por ejemplo, datos de personas de contacto de su clientela y datos incorporados en facturas emitidas por el cliente), dicho tratamiento se rige por el Contrato de Encargo de Tratamiento (DPA) asociado al Servicio, en el que el cliente actúa como Responsable y BongoFact como Encargado.

2. Datos de contacto y, en su caso, Delegado de Protección de Datos

Para cuestiones relativas a protección de datos, el usuario podrá contactar con BongoFact en privacidad@bongofact.es y/o en la dirección postal indicada en la cláusula anterior. En caso de que BongoFact haya designado Delegado de Protección de Datos, sus datos de contacto son: privacidad@bongofact.es.

3. Categorías de datos tratados

En función del uso del sitio web y/o del Servicio, BongoFact puede tratar:

1. datos identificativos y de contacto de usuarios (nombre, apellidos, email, teléfono, empresa, cargo);
2. datos de cuenta y autenticación (credenciales, logs de acceso, configuración del Servicio);
3. datos de facturación y cobro de BongoFact (datos de suscripción, historial de pagos, facturas emitidas por BongoFact al cliente, identificadores de transacción);
4. datos de soporte (comunicaciones, tickets, evidencias técnicas);
5. datos incorporados por el cliente al Servicio, incluyendo datos de terceros reflejados en facturas, clientes y proveedores del usuario profesional, y documentos/imágenes para OCR (por ejemplo, tickets);
6. metadatos técnicos (IP, identificadores de dispositivo/navegador, eventos de seguridad y auditoría).

El usuario garantiza la exactitud y actualización de los datos que facilite.

4. Finalidades del tratamiento

BongoFact trata datos personales, según corresponda, para:

1. gestionar el registro, alta y administración de la cuenta, y habilitar el acceso al Servicio;
2. prestar las funcionalidades de facturación en la nube orientadas al cumplimiento normativo (incluyendo generación, gestión, archivo operativo y transmisión de facturas en formatos aplicables, e integración con plataformas públicas/terceros cuando el usuario lo active);
3. gestionar la relación contractual B2B, suscripción, cobros, prevención del fraude y atención al cliente;
4. soporte técnico, mantenimiento, mejoras, diagnóstico de incidencias y seguridad de la información;
5. cumplir obligaciones legales aplicables a BongoFact, incluidas obligaciones de conservación y atención de potenciales responsabilidades;
6. gestionar solicitudes de ejercicio de derechos en materia de protección de datos;
7. gestionar la utilización de funcionalidades de IA/OCR cuando el usuario las solicite, para lectura y extracción de datos de documentos, con las restricciones y garantías descritas en esta política; y
8. remitir comunicaciones operativas imprescindibles (por ejemplo, sobre disponibilidad, cambios técnicos y seguridad).

5. Bases jurídicas del tratamiento

Las bases jurídicas aplicables son, según la concreta finalidad:

1. la ejecución de un contrato o la aplicación de medidas precontractuales (alta, prestación del Servicio, soporte asociado, administración de la cuenta);
2. el cumplimiento de obligaciones legales exigibles a BongoFact (p. ej., conservación de documentación y cumplimiento de deberes contables/mercantiles y de atención a reclamaciones o responsabilidades);
3. el interés legítimo de BongoFact en garantizar la seguridad, prevenir abusos, asegurar la continuidad del Servicio, y gestionar y mejorar el funcionamiento técnico, siempre ponderando los derechos y libertades de los interesados; y
4. el consentimiento del usuario cuando sea exigible (p. ej., determinadas cookies o tratamientos opcionales que así se configuren).

6. Información esencial sobre la condición de cliente B2B y rol Responsable/Encargado

El Servicio está dirigido a usuarios profesionales (autónomos, PYMEs y empresas). En la medida en que el cliente utilice BongoFact para emitir, gestionar y custodiar sus facturas y documentación asociada incorporando datos personales de terceros (p. ej., clientes, proveedores, representantes), el cliente determina los fines y medios de dichos tratamientos en su propia actividad, por lo que actúa como Responsable del tratamiento, y BongoFact actúa como Encargado, quedando el régimen aplicable y las instrucciones documentadas definidos en el DPA. BongoFact no adquiere un vínculo jurídico directo con los terceros cuyos datos incorpore el cliente, sin perjuicio de las obligaciones que correspondan a BongoFact como encargado.

7. Destinatarios y categorías de destinatarios

Los datos podrán ser comunicados o resultar accesibles, según proceda, a:

1. proveedores tecnológicos que prestan servicios necesarios para operar el Servicio (hosting, base de datos, monitorización, comunicaciones, seguridad);
2. proveedores de pago y gestión de suscripciones;
3. subencargados vinculados a funcionalidades específicas activadas por el usuario (por ejemplo, OCR/IA);
4. Administraciones y organismos públicos cuando sea necesario para la prestación del Servicio solicitada por el usuario (por ejemplo, integraciones con plataformas de facturación electrónica o servicios públicos) o por obligaciones legales; y
5. asesores y colaboradores bajo deber de confidencialidad cuando sea necesario para la correcta prestación, defensa o gestión de responsabilidades.

La contratación de encargados y, en su caso, subencargados se articula bajo las garantías contractuales exigibles y bajo condiciones de confidencialidad y seguridad.

8. Subencargados e infraestructura

Para la prestación del Servicio, BongoFact utiliza como subencargados, en particular:

1. Supabase (infraestructura sobre AWS/GCP con alojamiento en la Unión Europea) para base de datos y servicios asociados;
2. Stripe para pasarela de pago y suscripciones recurrentes; y
3. APIs de IA (OpenAI/Google) para funcionalidades de lectura OCR de tickets y extracción de información cuando el usuario las utilice.

El usuario autoriza con carácter general el recurso a subencargados y la sustitución o adición de los mismos, conforme al DPA, comprometiéndose BongoFact a informar de cambios relevantes y a permitir la oposición en los términos pactados en dicho DPA.

9. Transferencias internacionales de datos

Con carácter general, BongoFact opera su infraestructura principal en la Unión Europea. No obstante, determinadas herramientas de terceros (por ejemplo, proveedores de pago o APIs de IA) pueden implicar accesos o transferencias internacionales de datos personales, en cuyo caso se articularán mediante las garantías adecuadas legalmente previstas (por ejemplo, cláusulas contractuales tipo u otros mecanismos aplicables) o, cuando proceda, mediante alguna de las bases habilitantes previstas para transferencias. Los detalles operativos aplicables se recogen en el DPA y/o en la información contractual vinculada a cada subencargado.

10. Plazos de conservación y regla de retención por obligaciones legales

BongoFact conservará los datos personales únicamente durante el tiempo necesario para cumplir las finalidades indicadas en esta política y/o durante los plazos exigidos por obligaciones legales o para la formulación, el ejercicio o la defensa de reclamaciones. En particular, cuando el usuario cancele su cuenta o solicite la supresión de datos, BongoFact podrá conservar bloqueadas determinadas facturas y registros asociados durante el plazo necesario para atender obligaciones legales y posibles responsabilidades, aplicando medidas de bloqueo y limitación de acceso. Esta conservación bloqueada no supone un uso activo de los datos para finalidades distintas, sino su mantenimiento restringido durante el plazo legal de prescripción o conservación que resulte aplicable.

11. Ejercicio de derechos

Los interesados pueden ejercitar los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad, mediante solicitud dirigida a privacidad@bongofact.es o a la dirección postal indicada, identificándose adecuadamente. Cuando BongoFact actúe como Encargado por cuenta del cliente, BongoFact asistirá al cliente, a través de medidas técnicas y organizativas apropiadas y siempre que sea posible, para que éste pueda responder a las solicitudes de ejercicio de derechos.

12. Derecho a reclamar ante la Agencia Española de Protección de Datos

El interesado podrá presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) si considera que el tratamiento de sus datos personales infringe la normativa aplicable.

13. Tratamiento de certificados digitales del usuario para firma y envíos

Cuando el usuario decida integrar y utilizar funcionalidades de firma y envío (por ejemplo, envíos XML a FACe u otras plataformas), el usuario podrá cargar en el Servicio su certificado digital en formato .p12/.pfx. El archivo se almacena cifrado con AES-256 en reposo mediante cifrado envelope y clave gestionada en KMS (AWS KMS, Azure Key Vault o HSM). La contraseña del certificado no se guarda en base de datos: solo se utiliza en memoria durante la subida para validar el archivo, y el acceso de descarga directa desde el almacén está restringido al backend de firma. El certificado se utiliza exclusivamente para las acciones técnicas necesarias para emitir, firmar y remitir facturas y documentos en nombre del usuario, conforme a la configuración y a las instrucciones del usuario dentro del Servicio. El usuario autoriza expresamente a BongoFact a custodiar y utilizar el certificado a estos únicos fines, declara que dispone de las facultades necesarias para ello y asume la responsabilidad de su vigencia, revocación, renovación y custodia originaria; BongoFact no responderá de usos indebidos externos al Servicio, de accesos no atribuibles a incumplimiento de sus medidas, ni de las consecuencias derivadas de la revocación, caducidad o bloqueo del certificado por la autoridad emisora o por terceros.

14. Datos fiscales y responsabilidad del usuario sobre la veracidad de la información

El usuario es el único responsable de la exactitud, integridad, actualización y licitud de los datos fiscales y de facturación que introduzca o importe en el Servicio, así como de la correcta parametrización de sus obligaciones y reglas de facturación. BongoFact presta una herramienta tecnológica y no asume responsabilidad por sanciones, recargos, intereses o consecuencias derivadas de errores del usuario, datos falsos o inexactos, usos contrarios a la documentación del Servicio, ni por indisponibilidades o incidencias de sistemas de terceros (por ejemplo, caídas o fallos de sedes electrónicas o servicios de la Administración) que impidan remisiones o validaciones en plazo.

15. Decisiones automatizadas y perfiles

Con carácter general, BongoFact no adopta decisiones automatizadas con efectos jurídicos sobre el usuario basadas únicamente en tratamientos automatizados. En caso de implantarse funcionalidades que impliquen decisiones automatizadas o elaboración de perfiles en los términos legalmente relevantes, se informará de ello de forma específica, incluyendo información significativa sobre la lógica aplicada y las consecuencias previstas.

16. Seguridad de la información y confidencialidad

BongoFact aplica medidas técnicas y organizativas apropiadas orientadas a preservar la integridad, confidencialidad y disponibilidad de los datos, teniendo en cuenta la naturaleza, el contexto y los riesgos del tratamiento, incluyendo controles de acceso, cifrado en tránsito y en reposo cuando proceda, y procedimientos de gestión de incidentes. El personal y colaboradores autorizados quedan sujetos a compromisos de confidencialidad y a instrucciones sobre el tratamiento.

17. Comunicaciones y soporte

Las comunicaciones vinculadas a la prestación del Servicio (por ejemplo, confirmaciones de alta, avisos operativos, incidencias de seguridad, cambios técnicos relevantes) se considerarán necesarias para la ejecución contractual. Si el usuario facilita datos de terceros (p. ej., empleados o colaboradores) como contactos de cuenta, garantiza que les ha informado y que tiene base para comunicarlos a BongoFact.

18. Cambios en la política de privacidad

BongoFact podrá modificar la presente Política de Privacidad cuando sea necesario por cambios normativos, técnicos u operativos. Las versiones actualizadas estarán disponibles en el sitio web, y cuando el cambio afecte de manera relevante a la relación contractual se comunicará conforme a los mecanismos previstos en las condiciones del Servicio.