Privacidad.
En la plataforma.

Esta traducción al español se facilita únicamente a título informativo. Solo la versión alemana es jurídicamente vinculante; en caso de discrepancia, prevalece la versión alemana. Leer la versión alemana

1. Responsable del tratamiento

El responsable del tratamiento de datos en la plataforma es:

El prestador y operador de la plataforma y desarrollador del software Finaure es JSLM Products & Services GmbH (en adelante, «nosotros»). Encontrará más información en el aviso legal.

2. Ámbito de aplicación y roles

Esta política se aplica al uso de la plataforma Finaure (la aplicación tras el inicio de sesión) por parte de nuestros clientes y de todos los usuarios invitados por ellos, como familiares, asistentes o asesores, así como a terceros externos que accedan a contenidos concretos mediante un enlace de acceso compartido. Para la visita a nuestro sitio web se aplica la política de privacidad del sitio web.

Dos roles: respecto de su cuenta de cliente, la facturación y la seguridad de la plataforma, somos responsables del tratamiento. Si usted, como cliente, introduce datos de terceros (p. ej., de inquilinos, trabajadores, socios contractuales o familiares), usted es el responsable del tratamiento de esos datos y nosotros los tratamos como su encargado del tratamiento conforme al contrato de encargo del tratamiento (condiciones generales, anexo 3).

3. Dónde se almacenan sus datos

Todos los datos almacenados de forma permanente, es decir, datos maestros, patrimoniales y de transacciones, documentos y sesiones, se encuentran en Supabase, en servidores situados en la Unión Europea (Alemania), cifrados en reposo y durante la transmisión. La interfaz de la aplicación se entrega a través de Netlify; allí no se almacenan datos de usuarios.

Algunos destinatarios tienen su sede fuera de la UE o pertenecen a empresas estadounidenses, por ejemplo Anthropic para el tratamiento por IA (apartado 8), Cloudflare para la protección frente a bots y Google para el inicio de sesión opcional con Google (apartado 5). Todos los destinatarios y las garantías para las transferencias a terceros países figuran en el apartado 15.

4. Datos tratados

• Datos de cuenta y datos maestros: nombre, dirección de correo electrónico, dirección de facturación, roles, configuración, nivel de licencia elegido.
• Datos patrimoniales y financieros: entidades y participaciones, activos patrimoniales, cuentas bancarias con saldos y movimientos, cuentas de valores, contratos, comprobantes, datos de planificación.
• Documentos e imágenes: archivos subidos por usted (PDF, JPG, PNG) y los contenidos extraídos de ellos.
• Datos de terceros que usted introduzca (véase el apartado 2).
• Datos técnicos y registros: eventos de inicio de sesión, eventos de auditoría, registros de errores y de funcionamiento (apartado 17).
• Ninguna credencial de acceso bancario: sus credenciales de banca en línea no nos llegan en ningún momento (apartado 9).

5. Registro e inicio de sesión

En el registro tratamos su dirección de correo electrónico, su nombre, su dirección de facturación y el nivel de licencia elegido. Su dirección de correo electrónico se confirma antes de la activación. Las contraseñas solo se almacenan como hash criptográfico.

Para protegernos frente a registros automatizados utilizamos Cloudflare Turnstile (Cloudflare, Inc., EE. UU.). Para ello, su dirección IP y señales técnicas del navegador se transmiten a Cloudflare con el fin de distinguir a las personas de los bots.

También puede iniciar sesión con su cuenta de Google. En ese caso, la página de inicio de sesión le redirige a Google; tras su confirmación, Google Ireland Limited (Gordon House, Barrow Street, Dublín 4, Irlanda) nos transmite su dirección de correo electrónico, su nombre, en su caso su foto de perfil y un identificador de Google. Nunca recibimos su contraseña de Google. El inicio de sesión con Google es opcional; también puede iniciar sesión con su dirección de correo electrónico y su contraseña. Al tratamiento por parte de Google se aplica la política de privacidad de Google.

El inicio de sesión en dos pasos (TOTP) funciona con cualquier aplicación de autenticación habitual y se ejecuta íntegramente a través de nuestra infraestructura de inicio de sesión en Supabase, sin ningún otro proveedor externo. Los ocho códigos de recuperación solo se almacenan como hash. Las sesiones tienen una fecha de caducidad, usted puede cerrarlas y finalizan automáticamente tras un tiempo de inactividad configurable por usted.

6. Uso de la plataforma

Tratamos los datos que usted introduce, sube u obtiene a través de la conexión bancaria para ponerle a disposición las funciones de la plataforma: vistas generales del patrimonio y de la estructura, análisis, planificaciones, tareas, informes y exportaciones para su asesor. Los documentos subidos se almacenan separados por espacio de cliente y solo se consultan tras el inicio de sesión mediante enlaces firmados de corta duración.

7. Roles, registros, soporte

Los clientes invitan a usuarios y asignan roles por entidad (propietario, administrador, gestor, asistente, miembro, asesor). Los datos que ve cada usuario se controlan en el servidor. Las acciones relevantes para la seguridad se registran en un registro de auditoría que solo pueden consultar los propietarios y los administradores.

Soporte: nuestros empleados solo acceden a un espacio de cliente en la medida en que sea necesario para resolver una solicitud; estos accesos se registran y se muestran al propietario en la plataforma. No tenemos acceso a pagos ni a conexiones bancarias. Las incidencias de servicio, como el restablecimiento del inicio de sesión en dos pasos, las tramitamos tras una verificación de identidad mediante correo electrónico de confirmación, sin acceder a los contenidos.

8. Funciones de IA

Para las funciones de IA utilizamos la API de Claude de Anthropic (Anthropic PBC, EE. UU.) como encargado del tratamiento, es decir, la interfaz comercial y no el producto para consumidores finales. Conforme al contrato vigente en cada momento con Anthropic, los contenidos no se almacenan tras el tratamiento y no se utilizan para el entrenamiento de modelos de IA (actualmente: Zero Data Retention). En cada función solo enviamos los datos necesarios:

En el análisis de documentos, el propio documento es objeto del tratamiento: si contiene nombres, por ejemplo en una factura, estos se analizan dentro del documento. Las matrículas de vehículos o los números de bastidor detectados se almacenan en el activo patrimonial correspondiente y no se transmiten al asistente de chat.

Transparencia y control: cada interacción con la IA se identifica como tal (art. 50 del Reglamento de Inteligencia Artificial). Los resultados de la IA son propuestas que usted confirma o modifica. Solo puede utilizar SmartAssist tras otorgar su consentimiento expreso, que puede revocar en cualquier momento en la configuración; para las subidas existe una vía manual sin IA. Cada respuesta de SmartAssist muestra en qué datos se basa. Las indicaciones de valor para bienes materiales son estimaciones basadas en el conocimiento del modelo, sin datos de mercado, y no constituyen una valoración. Solo registramos que se ha realizado un análisis, no su contenido ni su resultado.

9. Conexión bancaria (finAPI)

Usted conecta sus cuentas bancarias a través de finAPI GmbH, Múnich, un servicio de información sobre cuentas y de iniciación de pagos supervisado por la BaFin. El inicio de sesión en su banco, incluida la autenticación reforzada de cliente, tiene lugar directamente entre usted, finAPI y su banco; sus credenciales de banca en línea nunca nos llegan. Recibimos y almacenamos en la UE información de cuentas como saldos, movimientos y posiciones en cuentas de valores. Los accesos bancarios se almacenan por usuario. El consentimiento para el acceso a la cuenta lo otorga y gestiona usted ante finAPI y su banco. Las órdenes de pago las autoriza usted en la plataforma conforme al procedimiento de autorización configurado; el pago se inicia a través de finAPI y se autoriza y ejecuta mediante el procedimiento de su banco. Los pagos se realizan exclusivamente a través de finAPI; Finaure nunca tiene acceso a su dinero. Al finalizar el contrato, los accesos creados en finAPI se eliminan en el marco de la supresión.

10. Facturación

La facturación de la suscripción se realiza a través del servicio de facturación Fynn (Fynn GmbH, Barthelstraße 4, 50823 Colonia, Alemania). Los datos de pago, como los datos de tarjeta o de cuenta, se tratan exclusivamente allí o en el proveedor de servicios de pago correspondiente; nosotros solo almacenamos el estado de la suscripción y números de referencia. Para algunos contratos existentes seguimos utilizando Stripe (Stripe Payments Europe, Ltd., Irlanda); esta integración será sustituida. El fin del periodo de prueba y el nivel de licencia se nos comunican mediante notificaciones seguras y con firma verificada del servicio de facturación.

11. Correos electrónicos

Los correos electrónicos del sistema (p. ej., invitaciones, plazos, avisos relativos al contrato, notificaciones de informes) los enviamos a través de Brevo (Sendinblue SAS, París). Nuestros correos electrónicos no contienen cifras patrimoniales ni archivos adjuntos; los informes los facilitamos como enlace de descarga, que caduca a los 14 días. En nuestros registros solo almacenamos un hash de la dirección del destinatario.

Si nos escribe por correo electrónico, su mensaje se recibe en nuestros buzones de Hostinger (Hostinger International Ltd., Chipre) y se gestiona con Microsoft 365 (Microsoft Ireland Operations Ltd.).

12. Enlaces para terceros externos

Puede compartir tareas, data rooms o informes concretos mediante enlaces para terceros externos, por ejemplo con su asesor o su notario. Los enlaces se basan en tokens aleatorios de 256 bits, de los que solo almacenamos un hash. Solo son válidos para un asunto, tienen una duración limitada (tareas 14 días, data rooms 30 días, informes 14 días), pueden revocarse en cualquier momento y están protegidos frente a accesos automatizados. Cada acceso se registra con la fecha y hora, así como con la dirección IP y el identificador del navegador en forma de hash, y usted puede consultarlo. La elección de los destinatarios le corresponde a usted.

13. Detección de abusos y bots

Para detectar accesos automatizados sin nuestro consentimiento, evaluamos señales que no contienen datos de uso: contadores de interacción, elementos señuelo invisibles para las personas y un seudónimo de sesión aleatorio por pestaña del navegador, que finaliza con la pestaña. No se realiza ningún seguimiento entre dispositivos; no se instalan cookies con fines publicitarios ni de análisis. El acceso al almacenamiento es estrictamente necesario para la seguridad del servicio (art. 25, apdo. 2, n.º 2, de la Ley alemana de Protección de Datos en Telecomunicaciones y Medios Digitales, TDDDG). En caso de sospecha, informamos al operador y, en su caso, finalizamos la sesión.

14. Datos de mercado sin referencia personal

Las cotizaciones, los precios de metales preciosos, los tipos de cambio y los canales públicos de noticias los obtenemos exclusivamente desde nuestros servidores (entre otros, Twelve Data, Metals-API, Frankfurter API/BCE y fuentes de noticias públicas). En ello solo se transmiten símbolos de valores o solicitudes de canales, ningún dato sobre usted ni su dirección IP.

15. Destinatarios y transferencias a terceros países

No vendemos datos. Solo transmitimos datos a los siguientes proveedores de servicios, a los que hemos vinculado contractualmente como encargados del tratamiento (art. 28 del RGPD), o cuando estamos legalmente obligados a ello. La lista completa figura en el anexo 4 de las condiciones generales.

En la medida en que un proveedor esté certificado en el marco del EU-US Data Privacy Framework, la transferencia se basa en la decisión de adecuación de la Comisión Europea (art. 45 del RGPD) y, en los demás casos, en cláusulas contractuales tipo de la UE (art. 46, apdo. 2, letra c), del RGPD). Puede obtener una copia de las garantías previa solicitud.

16. Bases jurídicas

La facilitación de los datos de cuenta y contractuales es necesaria para la celebración del contrato; sin ellos no podemos poner la plataforma a su disposición. Usted decide libremente qué otros datos facilita.

17. Plazo de conservación y supresión

Tras la finalización del contrato, dispone de 90 días de acceso de lectura y puede descargar un paquete de exportación completo (todos los documentos y los datos principales en formato CSV). Se lo recordamos al inicio de ese periodo, así como 30 y 7 días antes de su vencimiento. A continuación suprimimos definitivamente todos los datos de su espacio de cliente, incluidos los documentos y los accesos en finAPI. Si lo desea, realizamos la supresión antes. No se registran los contenidos de documentos, las respuestas de la IA, las credenciales de acceso bancario ni las contraseñas.

18. Sus derechos

Conforme al RGPD, le asisten los siguientes derechos:

• Acceso (art. 15) y portabilidad de los datos (art. 20), en la plataforma a través del paquete de exportación
• Rectificación (art. 16), directamente en la plataforma
• Supresión (art. 17), con supresión definitiva registrada
• Limitación del tratamiento (art. 18)
• Oposición a tratamientos basados en el art. 6, apdo. 1, letra f), por motivos relacionados con su situación particular (art. 21)
• Revocación de los consentimientos otorgados con efectos para el futuro (art. 7, apdo. 3), por ejemplo para SmartAssist en la configuración

Basta con un correo electrónico a info@finaure.eu. Si su solicitud se refiere a datos que un cliente ha introducido como responsable del tratamiento (apartado 2), se la remitiremos a este.

Además, tiene derecho a presentar una reclamación ante una autoridad de control de protección de datos (art. 77 del RGPD), en particular en el Estado de su residencia habitual. La autoridad competente para nosotros es el Comisionado de Hesse para la Protección de Datos y la Libertad de Información (Hessischer Beauftragter für Datenschutz und Informationsfreiheit, HBDI), Gustav-Stresemann-Ring 1, 65189 Wiesbaden. Otras autoridades de control: Austria – Datenschutzbehörde (DSB); Italia – Garante per la protezione dei dati personali; Francia – CNIL; España – AEPD; Croacia – AZOP.

19. Seguridad de los datos

Alojamiento en la UE en una infraestructura con certificación SOC 2 Type 2, cifrado en reposo (AES-256) y durante la transmisión (TLS 1.2 o superior), separación de espacios de cliente impuesta en el servidor (Row Level Security), modelo de roles y de visibilidad, inicio de sesión en dos pasos, principio de doble control para pagos, cabeceras de seguridad, tiempo de espera de sesión y copias de seguridad diarias. Encontrará la descripción completa en las medidas técnicas y organizativas (condiciones generales, anexo 3, parte B).

20. Otras indicaciones

Ninguna decisión automatizada: no se toman decisiones en el sentido del art. 22 del RGPD. La indicación de un nivel de licencia superior en caso de aumento del patrimonio bruto es una oferta; el precio solo cambia tras su confirmación.

Modificaciones: adaptamos esta política cuando cambian los tratamientos, por ejemplo con nuevas funciones o nuevos proveedores de servicios. Es determinante la versión publicada aquí en cada momento.

Última actualización: octubre de 2026