1. Responsable del tractament

OFFITIA (en endavant, "el prestador") posa a disposició dels usuaris la present Política de Privadesa amb la finalitat d'informar sobre com es recullen, tracten i protegeixen les dades de caràcter personal dels usuaris del lloc web i els serveis oferts a través d'ell.

Identitat: OFFITIA
Correu electrònic de contacte: support@offitia.io

2. Dades que recollim

Quan utilitzeu els nostres serveis, podem recollir les següents categories de dades:

• Dades d'identificació: nom, adreça de correu electrònic, telèfon, NIF/CIF
• Dades de facturació: adreça fiscal, dades bancàries
• Dades de clients que l'usuari introdueix al sistema (noms, emails, adreces, NIFs)
• Dades de navegació: adreça IP, tipus de navegador, pàgines visitades
• Dades d'ús: pressupostos, factures i documents creats a través de la plataforma
• Dades d'autenticació federada (Google OAuth): Quan l'usuari decideix utilitzar el servei «Continuar amb Google» per registrar-se o iniciar sessió, recollim l'identificador únic d'usuari de Google (Google User ID), el nom complet associat al compte i l'adreça de correu electrònic verificada, amb la finalitat exclusiva de gestionar la identitat i l'accés segur a la plataforma.
• Dades de contractació pública (codis DIR3): Quan l'usuari emet factures adreçades a ens del sector públic, es recullen i emmagatzemen els codis del directori comú d'unitats administratives (DIR3) corresponents a l'Oficina Comptable, l'Òrgan Gestor i la Unitat Tramitadora, així com el número d'expedient administratiu facilitat per l'usuari, per a la seva inclusió preceptiva a l'arxiu Facturae XML i a la capçalera de la factura.

3. Finalitat del tractament

Tractem les vostres dades personals amb les finalitats següents:

• Gestionar el vostre compte d'usuari i els serveis contractats
• Processar i emmagatzemar els pressupostos, factures i documents creats
• Enviar comunicacions relacionades amb el servei (notificacions, recordatoris)
• Millorar la nostra plataforma i l'experiència d'usuari
• Complir amb obligacions legals i fiscals, incloent la normativa Veri*Factu (RD 1007/2023 i RD 1619/2012 Art. 6.1) per al registre de NIF i la remissió de registres de facturació a l'AEAT

4. Ús de la intel·ligència artificial

OFFITIA utilitza serveis d'intel·ligència artificial de tercers (com ara Groq, Together AI o OpenAI) per a les funcionalitats següents:

• Generació de textos: processar descripcions de feina i generar pressupostos automàtics. Les dades de text s'envien de forma segura (HTTPS), no s'usen per entrenar models i no es conserven un cop completat el processament.
• Reconeixement de tiquets (OCR): quan pugeu la foto d'un tiquet de compra, la imatge s'envia a OpenAI (GPT-4o Vision) per extraure'n les línies de productes. La imatge s'emmagatzema al vostre compte per poder consultar-la i eliminar-la en qualsevol moment.

5. Base legal del tractament

La base legal per al tractament de les vostres dades és:

• L'execució del contracte de serveis que accepteu en registrar-vos
• El vostre consentiment exprés, que podeu retirar en qualsevol moment
• El compliment d'obligacions legals aplicables (especialment fiscals i comptables, incloent la normativa Veri*Factu RD 1007/2023)

6. Conservació de les dades

Conservem les vostres dades personals durant el temps necessari per complir amb les finalitats descrites en aquesta política, o mentre mantingueu un compte actiu. Un cop suprimiu el vostre compte, les dades operatives (perfil, clients, pressupostos, materials, imatges de tiquets) es conservaran durant 30 dies en mode de només lectura per permetre'n l'exportació, després dels quals s'eliminaran de forma segura. Les dades de facturació i comptables (factures emeses) es conservaran durant el període legalment establert (5 anys) per complir amb obligacions fiscals.

7. Drets dels usuaris

Podeu exercir els drets següents en qualsevol moment:

• Accés: saber quines dades vostres estem tractant
• Rectificació: sol·licitar la correcció de dades inexactes
• Supressió: sol·licitar l'eliminació de les vostres dades
• Limitació: sol·licitar que es limiti el tractament
• Portabilitat: rebre les vostres dades en format estructurat
• Oposició: oposar-vos al tractament de les vostres dades

Per exercir aquests drets, envieu un correu a support@offitia.io. També teniu dret a presentar una reclamació davant l'Agència Espanyola de Protecció de Dades (AEPD).

8. Seguretat

Implementem mesures de seguretat tècniques i organitzatives per protegir les vostres dades personals contra l'accés no autoritzat, la pèrdua o l'alteració. Utilitzem xifratge en trànsit (HTTPS/TLS) i en repòs a la base de dades (Supabase). No obstant, cap sistema és completament segur, i no podem garantir la seguretat absoluta de les dades.

Seguretat de les Credencials: En compliment de l'article 32 del RGPD, apliquem mesures tècniques reforçades per protegir les vostres dades d'accés. Les contrasenyes s'emmagatzemen mitjançant protocols de xifratge d'alt nivell. Així mateix, el tractament de les dades d'accés inclou sistemes de monitorització d'anomalies i limitació de ràtio d'intents (rate limiting) per prevenir accessos no autoritzats mitjançant tècniques de força bruta. Aquestes mesures s'apliquen de forma automatitzada per garantir la disponibilitat i resiliència dels sistemes de tractament.

9. Tercers i Transferències Internacionals de Dades

Podem compartir dades amb tercers proveïdors de serveis essencials per al funcionament de la plataforma, com ara:

• Vercel / Supabase: allotjament web, base de dades SQL i servidors cloud a la Unió Europea (Frankfurt, Alemanya)
• OpenAI LLC / Groq / Together AI: processament intel·ligent de documents i OCR de tiquets
• Stripe Payments Europe Ltd. / Stripe Inc.: gestió de pagaments i subscripcions segures
• Google Workspace / Gmail API: autenticació OAuth i enviament de documents des del compte de l'usuari
• Microsoft Azure AD / Office 365 API: autenticació OAuth i integració de correu electrònic
• VeriFacti.com (Verifacti SL): compliment Veri*Factu, registre de NIF i enviament de registres de facturació a l'AEAT
• Functional Software, Inc. (Sentry): monitorització d'errors tècnics, telemetria i rendiment de la plataforma en temps real per garantir la seguretat i disponibilitat del servei (Art. 32 RGPD). Processament en servidors a la Unió Europea (Frankfurt, Alemanya) i transferències als EUA sota el Data Privacy Framework (DPF). Termini de conservació: 30-90 dies.
• Umami Software, Inc. (Umami Analytics): mesurament agregat i anònim de mètriques de visites i ús de la plataforma amb la finalitat d'optimitzar el funcionament del lloc web i l'experiència d'usuari, sota la base jurídica del nostre interès legítim (Art. 6.1.f RGPD). Funciona sense galetes (cookie-less), sense perfilat individual d'usuaris, i amb dades emmagatzemades exclusivament en servidors a la Unió Europea sota un acord de tractament de dades (DPA). L'usuari pot exercir el seu dret d'oposició contactant amb nosaltres. Més informació a umami.is/privacy.

Garanties de Transferència Internacional i Ús d'IA: En cas d'utilitzar proveïdors situats als Estats Units (OpenAI, Stripe), aquestes transferències es realitzen a l'empara del Marc de Privadesa de Dades (Data Privacy Framework - DPF) de la Comissió Europea. En el cas específic de la Intel·ligència Artificial, OFFITIA té configurades les APIs oficials per garantir que les dades i documents dels usuaris mai s'utilitzen per entrenar models de llenguatge de tercers.

Ús de Dades d'Usuari de Google (Google API Services User Data Policy)

OFFITIA utilitza els serveis de Google per a dues finalitats clarament diferenciades i consentides per l'usuari:

1. Autenticació i Gestió d'Accés (Google Sign-In / OAuth): Accés a les dades bàsiques de perfil (nom, correu electrònic i ID d'usuari) per permetre el registre i l'inici de sessió segur en un sol clic.
2. Integració de Comunicacions (Gmail API): Accés als permisos estrictament necessaris per a la remissió de factures, pressupostos i documents comercials des del compte de correu de l'usuari quan aquest ho configuri expressament.

L'ús i la transferència a qualsevol altra aplicació de la informació rebuda de les API de Google compleixen estrictament la Google API Services User Data Policy, inclosos els requisits d'Ús Limitat (Limited Use Requirements). Les dades obtingudes a través de les API de Google no s'utilitzen mai per entrenar models d'Intel·ligència Artificial o d'aprenentatge automàtic (machine learning), no es comparteixen amb tercers amb finalitats publicitàries ni es conserven més enllà del necessari per complir la finalitat operativa sol·licitada per l'usuari.

10. Supressió del compte, dret a l'oblit i conservació de dades

En compliment del Reglament General de Protecció de Dades (RGPD) i la Llei Orgànica 3/2018 de Protecció de Dades i Garantia dels Drets Digitals (LOPDGDD), l'usuari pot sol·licitar la supressió completa del seu compte i de les seves dades personals en qualsevol moment.

Com sol·licitar la supressió

• Des de la plataforma: Accediu a Configuració → Eliminar compte al tauler de control. El procés és immediat i no requereix confirmació addicional per part del nostre equip.
• Per correu electrònic: Enviant un missatge a support@offitia.io des de l'adreça electrònica associada al vostre compte. Processarem la sol·licitud en un termini màxim de 10 dies hàbils.

Protocol de Gestió Bifàsica Post-Contractual

• Cancel·lació automàtica i immediata de qualsevol subscripció activa a Stripe.
• Fase 1 (Portabilitat - 30 dies naturals): El compte es manté en mode de només lectura i descàrrega perquè l'usuari pugui iniciar sessió i exportar el seu historial complet (clients, pressupostos, factures, materials i paquets ZIP de tancament fiscal), de conformitat amb l'art. 20 del RGPD i la jurisprudència de l'Audiència Nacional (SAN 706:2025).
• Fase 2 (Bloqueig Legal de Dades - 5 anys): Transcorreguts els 30 dies, l'accés d'inici de sessió de l'usuari s'inhabilita. Per complir amb les obligacions tributàries i de facturació establertes a la Llei General Tributària (LGT) i al Reglament Veri*Factu (RD 1007/2023), les dades fiscals i registres de facturació romandran degudament bloquejats segons l'article 32 de la LOPDGDD i la Resolució 33/2026. Qualsevol consulta excepcional per requeriment oficial de l'AEAT o autoritat judicial quedarà registrada en un sistema inalterable de traçabilitat (Audit Log) amb timestamp i motiu justificatiu.

El bloqueig consisteix en la identificació i reserva xifrada de les dades per impedir el seu tractament ordinari o comercial, restant a disposició exclusiva de l'Agència Tributària (AEAT), jutges i tribunals per a l'atenció de possibles responsabilitats derivades del tractament durant el termini de prescripció legal. Transcorregut el termini de 5 anys, les dades s'eliminen de forma permanent i segura.

11. Tractament de Dades d'Usuaris Convidats (Membres d'Equip) i Registre d'Auditoria

Quan una organització client convida membres al seu equip o espai de treball a OFFITIA, s'apliquen les següents condicions específiques de protecció de dades:

• Delimitació de Rols (RGPD): L'organització convidant actua com a Responsable del Tractament dels seus membres d'equip. OFFITIA actua estrictament com a Encarregat del Tractament (Art. 28 RGPD), proveint la infraestructura tecnològica sota les instruccions de l'organització titular.
• Dades Tractades: Es tracten únicament el nom complet, adreça electrònica corporativa associada a la invitació, credencials d'accés xifrades i registres d'activitat operativa i seguretat.
• Base Jurídica: Execució de la relació laboral o mercantil existent amb l'organització convidant (Art. 6.1.b RGPD), compliment d'obligacions legals tributàries sobre integritat de facturació (Reial Decret 1007/2023 - Veri*Factu, Art. 6.1.c RGPD) i interès legítim en la seguretat del sistema (Art. 6.1.f RGPD).
• Avís Exprés de Traçabilitat i Registre d'Auditoria: L'usuari convidat és informat expressament que tota acció operativa (creació, emissió, modificació o eliminació de pressupostos, factures, albarans, despeses o clients) queda registrada de manera inalterable al registre d'auditoria (Historial d'accions), accessible per l'administrador del compte i per a requeriments tributaris.
• Conservació i Desvinculació: En cas de baixa o revocació per part de l'administrador de l'espai de treball, l'accés de l'usuari convidat queda bloquejat de manera immediata. Les dades i documents creats es conservaran durant els terminis legals i tributaris obligatoris (fins a 6 anys).
• Drets dels Usuaris Convidats: L'exercici dels drets d'accés, rectificació o supressió s'ha de formular directament davant l'organització convidant (Responsable del Tractament). Per a incidències tècniques de credencials a OFFITIA, es pot contactar amb privacy@offitia.es.

12. Canvis en la política

Ens reservem el dret de modificar aquesta política per adaptar-la a canvis legislatius o de la plataforma. Us informarem dels canvis significatius a través de la web o per correu electrònic.