POLÍTICA DE PRIVACIDAD

1. Quién es la responsable

• Responsable del tratamiento: Jésica Carballo Yanes, profesional autónoma (en adelante, «la responsable»).
• NIF: 78633820V
• Domicilio: Calle Santa Rosalía, 49, 1C, 38002, Santa Cruz de Tenerife
• Correo electrónico: hello@jesicacarballo.com
• Sitio web: https://jesicacarballo.com (en adelante, «la web»)
• Delegado de protección de datos: no se ha designado, porque su actividad no está entre los casos en que es obligatorio (art. 37 RGPD y art. 34 LOPDGDD). Para cualquier cuestión sobre tus datos, escribe al correo anterior.

2. Qué datos se tratan, para qué y con qué base jurídica

Solo se tratan los datos que tú facilitas o que tu navegador envía al visitar la web. Para cada caso se indica qué datos, para qué, con qué base jurídica del art. 6 RGPD y durante cuánto tiempo. No se piden datos de categorías especiales (art. 9 RGPD) ni se elaboran perfiles de las personas que escriben o se suscriben.

Cuando la base jurídica es el interés legítimo, significa que el tratamiento es necesario para un fin legítimo de la responsable, que se ha comprobado que no prevalece sobre tus derechos y que puedes oponerte a él (apartado 7).

2.1. Formulario de contacto y correos que envías

• Qué datos: nombre, correo electrónico, teléfono (si lo indicas), asunto y mensaje, además de los datos técnicos del envío (fecha, página desde la que escribes y dirección IP). Lo mismo se aplica si escribes directamente a hello@jesicacarballo.com.
• Para qué: responder a tu consulta y, si lo pides, preparar una propuesta o una reunión.
• Base jurídica: si tu consulta trata sobre contratar servicios, la aplicación de medidas precontractuales a petición tuya (art. 6.1.b RGPD). En los demás casos, el interés legítimo de la responsable en atender los mensajes que recibe (art. 6.1.f RGPD): es lo que esperas al escribir y no prevalece sobre tus derechos. Puedes oponerte en cualquier momento (apartado 7).
• Si el formulario incluye una casilla de aceptación, sirve para confirmar que has leído esta información. No es un consentimiento para otros fines: tus datos solo se usan para atender tu mensaje y nunca para enviarte publicidad. Tampoco sustituye a tu elección sobre cookies, que se hace en el aviso de cookies.
• Cuánto tiempo: el necesario para atender tu consulta. Si no da lugar a una relación profesional, se suprimen como máximo 12 meses después de la última comunicación. Si da lugar a un encargo, pasan a regirse por el apartado 2.6.
• Una petición: no incluyas en tu mensaje datos de salud ni otros datos especialmente protegidos, ni datos de otras personas que no sean necesarios para tu consulta.

2.2. Checklist sin avisos («Prefiero solo la checklist, sin avisos»)

• Qué datos: tu correo electrónico, además de los datos técnicos de seguridad del apartado 2.4.
• Para qué: enviarte una sola vez, por correo electrónico, la checklist VERI*FACTU para despachos, un PDF de una página (en adelante, «la checklist»).
• Base jurídica: la prestación del recurso gratuito que solicitas (art. 6.1.b RGPD), en las condiciones del aviso legal.
• Lo que no se hace: tu dirección no se añade a ninguna lista ni se guarda en ninguna base de datos, y nunca se usará para enviarte avisos ni comunicaciones comerciales.
• Cuánto tiempo: solo el necesario para enviarte el correo. Del envío queda únicamente el registro técnico del sistema de correo (destinatario, fecha y resultado de la entrega), que solo se usa para resolver incidencias de entrega, por interés legítimo (art. 6.1.f RGPD), y se elimina como máximo a los 24 meses.

2.3. Avisos Verifactu (suscripción con la checklist)

• Qué datos: tu correo electrónico y la prueba de tu consentimiento: el texto de la casilla que marcaste, la fecha y la hora, la dirección IP desde la que te suscribiste y, cuando se produzca, la fecha de tu baja. Además, los datos técnicos de seguridad del apartado 2.4.
• Para qué:
  1. enviarte la checklist;
  2. enviarte por correo electrónico, como máximo una vez al mes, avisos sobre cambios en la normativa VERI*FACTU y novedades de los servicios de la responsable y de su software de facturación, Autónomo Factura. Estos avisos incluyen comunicaciones comerciales;
  3. poder demostrar que diste tu consentimiento.
• Base jurídica: para a), la prestación del recurso gratuito que solicitas (art. 6.1.b RGPD); para b), tu consentimiento (art. 6.1.a RGPD), que es también la autorización expresa que exige el art. 21.1 LSSI para recibir comunicaciones comerciales por correo electrónico: lo das al marcar la casilla y puedes retirarlo cuando quieras; para c), la obligación de poder demostrar ese consentimiento (arts. 6.1.c y 7.1 RGPD).
• Es voluntario: si no quieres recibir avisos, puedes pedir la misma checklist con la opción «Prefiero solo la checklist, sin avisos» (apartado 2.2). No suscribirte no tiene ninguna otra consecuencia.
• Quién te escribe: los avisos pueden llegarte con el nombre de ese software como remitente. Es un nombre comercial de la propia responsable (apartado 1), no un tercero, así que no supone comunicar tus datos a nadie, y cada aviso la identifica (art. 20 LSSI).
• Cómo darte de baja: en cualquier momento y sin coste, con el enlace de baja que incluye cada aviso o escribiendo a hello@jesicacarballo.com. La baja con el enlace es inmediata; si la pides por correo, se aplica sin demora y, en todo caso, antes del siguiente aviso. Retirar el consentimiento no afecta a la licitud de los envíos anteriores (art. 7.3 RGPD).
• Si no te has suscrito tú: si recibes la checklist o un aviso sin haberlo pedido, alguien ha usado tu dirección. Date de baja con el enlace del propio correo o escribe a hello@jesicacarballo.com y se eliminará.
• Gestión de los envíos: el sistema de correo registra si cada aviso se entrega, rebota o se marca como correo no deseado, para mantener la lista al día y proteger la reputación de los envíos (interés legítimo, art. 6.1.f RGPD). Si tu dirección rechaza los avisos de forma permanente o marcas uno como correo no deseado, se te da de baja automáticamente.
• Cuánto tiempo: tu correo y los datos de la suscripción se conservan mientras mantengas la suscripción. Cuando te das de baja, dejan de usarse: la prueba del consentimiento se conserva bloqueada durante 3 años, que es el plazo de prescripción de las infracciones relacionadas con el consentimiento (art. 72.1 LOPDGDD), solo para atender posibles reclamaciones (art. 32 LOPDGDD), y después se destruye. Además, para que tu baja se respete, tu dirección pasa a una lista de exclusión (apartado 6). Si los avisos dejan de enviarse, los datos de la suscripción se suprimen, salvo la prueba del consentimiento, que se conserva bloqueada esos mismos 3 años. Los registros técnicos de entrega se eliminan como máximo a los 24 meses.
• Sobre la dirección IP: la IP que forma parte de la prueba del consentimiento es distinta del código temporal que se usa para limitar envíos (apartado 2.4), que se borra a la hora.

2.4. Seguridad de los formularios

• reCAPTCHA v3 de Google (en el formulario de contacto y en los de la página de avisos Verifactu): analiza de forma automática la interacción con la página para distinguir a las personas de los programas automáticos. Para ello, tu navegador envía a Google datos como la dirección IP, información del navegador y del dispositivo y el comportamiento en la página, y Google puede guardar en tu navegador su cookie técnica. Según sus condiciones, Google usa esta información para prestar y mejorar reCAPTCHA y con fines generales de seguridad, y no para publicidad personalizada.
• Además, en los formularios de avisos Verifactu:
  • un campo oculto que solo rellenan los programas automáticos;
  • una comprobación de que tu correo no pertenece a un servicio de direcciones temporales, con una lista guardada en el propio servidor de la web, sin consultar a terceros;
  • una consulta técnica al sistema público de nombres de dominio (DNS) para comprobar que el dominio de tu correo existe y puede recibir mensajes: solo se consulta el dominio (lo que va detrás de la @), no tu dirección completa;
  • un límite de envíos por dirección IP, para el que se guarda durante una hora un código seudonimizado (hash) calculado a partir de tu IP, que después se borra automáticamente;
  • un límite de envíos a una misma dirección de correo (tres al día), para que nadie pueda usar el formulario para mandar la checklist una y otra vez a otra persona. Para ello se guarda durante 24 horas un código seudonimizado (hash) calculado a partir de la dirección, que no permite leerla y que después se borra automáticamente.
• Para qué: evitar el correo basura, los envíos automatizados y los abusos, y proteger la web.
• Base jurídica: el interés legítimo de la responsable en garantizar la seguridad de la web y de sus formularios (art. 6.1.f y considerando 49 RGPD). La responsable usa los datos mínimos y los conserva poco tiempo.
• Si te bloquea por error, o prefieres no usar el formulario: estas comprobaciones solo deciden si un envío se acepta o se rechaza y no tienen efectos jurídicos para ti. Si tu envío se rechaza por error, o no quieres que se hagan estas comprobaciones, escribe directamente a hello@jesicacarballo.com y se atenderá tu petición.
• Cuánto tiempo: el código de la IP, una hora; las demás comprobaciones no guardan datos una vez hechas. Lo que Google hace con los datos que recibe se rige por sus propias condiciones (apartado 4.2).

2.5. Navegación por la web

• Registros del servidor. Como en cualquier web, el servidor registra cada visita: dirección IP, fecha y hora, página solicitada y datos técnicos del navegador. Para qué: el funcionamiento y la seguridad de la web. Base jurídica: interés legítimo en garantizar esa seguridad (art. 6.1.f RGPD). Cuánto tiempo: el necesario para detectar y resolver incidencias, como máximo 12 meses.
• Estadísticas de visitas (Google Analytics), solo si las aceptas. Si aceptas la categoría «Estadísticas» del aviso de cookies, se recogen datos de uso como las páginas que visitas, la duración de la visita, el tipo de dispositivo y de navegador, la ubicación aproximada y cómo llegaste a la web, asociados a identificadores seudónimos guardados en cookies. Para qué: saber cómo se usa la web para mejorarla. Base jurídica: tu consentimiento (art. 6.1.a RGPD y art. 22.2 LSSI), que puedes retirar cuando quieras desde el botón «Gestionar consentimiento». Si no lo das, Google Analytics no se carga. Cuánto tiempo: como máximo 14 meses para los datos de usuario y de eventos.
• Tipos de letra (Google Fonts). Para mostrar los tipos de letra de la web, tu navegador los descarga de los servidores de Google al visitarla, por lo que Google recibe tu dirección IP y los datos técnicos de tu navegador. Según Google, estas peticiones no usan cookies. Base jurídica: interés legítimo en mostrar la web correctamente (art. 6.1.f RGPD). Cuánto tiempo: la responsable no guarda estos datos; lo que Google conserva se rige por sus propias condiciones (apartado 4.2).
• Selector de idioma (GTranslate), solo si lo usas. La web incluye un selector para verla en inglés. Si pasas el cursor por el selector o lo seleccionas con el teclado, tu navegador descarga el programa de traducción desde los servidores de GTranslate Inc., proveedor de este complemento. Si eliges otro idioma, tu navegador envía el texto de la página al servicio de traducción automática de Google. Ambos proveedores reciben tu dirección IP y los datos técnicos de tu navegador. Tu elección se guarda en una cookie de preferencia y, mientras no vuelvas al español, la traducción se activa sola en cada página. Si no usas el selector, no se produce ninguna de estas comunicaciones; si lo prefieres, puedes usar el traductor de tu propio navegador. Base jurídica: interés legítimo en ofrecer la web en otros idiomas a quien lo pide (art. 6.1.f RGPD). Cuánto tiempo: la responsable no guarda estos datos; lo que conservan GTranslate y Google se rige por sus propias condiciones (apartado 4.2).

2.6. Si contratas los servicios de la responsable

• Qué datos: identificativos y de contacto, datos de facturación (como el NIF y la dirección), las comunicaciones y la información del proyecto.
• Para qué: preparar la propuesta, prestar los servicios, facturarlos y cumplir las obligaciones legales asociadas.
• Base jurídica: la ejecución del contrato (art. 6.1.b RGPD) y el cumplimiento de obligaciones legales, en particular fiscales y contables (art. 6.1.c RGPD).
• Cuánto tiempo: mientras dure la relación y, después, durante los plazos que exige la ley: con carácter general, 4 años a efectos fiscales (art. 66 de la Ley 58/2003, General Tributaria), plazo que esa ley amplía en algunos supuestos, y 6 años para la documentación de la actividad cuando sea aplicable (art. 30 del Código de Comercio).
• Si para prestar un servicio la responsable trata datos personales por cuenta de tu organización, lo hará como encargada del tratamiento, con el contrato que exige el art. 28 RGPD.

3. Cuánto tiempo se conservan los datos

Los datos se conservan solo mientras son necesarios para la finalidad para la que se recogieron o mientras lo exige la ley. Cuando dejan de serlo, se suprimen. Cuando la ley lo exige, antes de destruirlos se mantienen bloqueados, es decir, apartados y sin usar, solo para ponerlos a disposición de jueces, tribunales y autoridades durante el plazo de prescripción de las responsabilidades que puedan derivarse del tratamiento (art. 32 LOPDGDD).

4. A quién se comunican los datos

Tus datos no se venden. Solo los reciben los proveedores que trabajan por encargo de la responsable (4.1), los servicios de terceros integrados en la web, en los términos del apartado 4.2, y las administraciones públicas, jueces o tribunales cuando una ley lo exige. No se ceden a nadie más.

4.1. Proveedores que tratan datos por cuenta de la responsable

Tratan los datos siguiendo sus instrucciones y con el contrato que exige el art. 28 RGPD:

• OVHcloud: alojamiento de la web y del correo electrónico, en servidores situados en Francia (UE).
• Amazon Web Services EMEA SARL (Luxemburgo): infraestructura en la nube para el envío de los avisos Verifactu (servicio Amazon SES) y el almacenamiento asociado, en la región de París (UE).
• Google Ireland Limited: estadísticas de visitas (Google Analytics), solo si las aceptas.

Los correos con la checklist se envían a través de uno de los dos primeros proveedores, ambos con servidores en la Unión Europea.

4.2. Servicios de terceros integrados en la web

La responsable ha decidido integrar estos servicios y responde de esa decisión. Lo que cada proveedor hace después con los datos que recibe se rige por sus propias condiciones y políticas de privacidad:

• Google LLC: reCAPTCHA (apartado 2.4), Google Fonts y el servicio de traducción automática (apartado 2.5). Política de privacidad de Google: policies.google.com/privacy.
• GTranslate Inc.: complemento de traducción de la web, solo si usas el selector de idioma (apartado 2.5).

4.3. Si la actividad se aporta a una sociedad

Jésica Carballo Yanes ejerce hoy su actividad como profesional autónoma. En el futuro podría aportar o transmitir esa actividad, o una parte de ella, a una sociedad. En ese caso, los datos vinculados a la actividad aportada, como la lista de personas suscritas a los avisos Verifactu o los datos de clientes, podrían comunicarse a esa sociedad, que pasaría a ser la nueva responsable del tratamiento. La ley presume lícitos estos tratamientos, incluida la comunicación previa de los datos, cuando son necesarios para el buen fin de la operación y garantizan, cuando proceda, la continuidad de los servicios (art. 21.1 LOPDGDD). Si la operación no llegara a completarse, la sociedad debería suprimir de inmediato los datos recibidos (art. 21.2 LOPDGDD).

La nueva responsable solo podría tratar tus datos para las mismas finalidades y en las mismas condiciones descritas en esta política. Si mantienes la suscripción a los avisos, se te avisará por correo antes del cambio, identificando a la nueva responsable, para que puedas darte de baja si lo prefieres. En cualquier caso, podrás ejercer tus derechos ante ella.

5. Transferencias internacionales

El alojamiento de la web y del correo y el envío de la checklist y de los avisos se hacen en servidores situados en la Unión Europea. Algunos servicios pueden implicar que tus datos se traten en Estados Unidos:

• Google (reCAPTCHA, Google Fonts, traducción automática y, si la aceptas, Google Analytics): Google LLC está adherida al Marco de Privacidad de Datos UE-EE. UU., que cuenta con una decisión de adecuación de la Comisión Europea (Decisión de Ejecución (UE) 2023/1795, de 10 de julio de 2023).
• Amazon Web Services: los datos se alojan en la región de París. Si AWS accediera a ellos de forma puntual desde fuera del Espacio Económico Europeo, por ejemplo por motivos de soporte o seguridad, lo haría con las garantías de su adenda de tratamiento de datos, que incorpora las cláusulas contractuales tipo de la Comisión Europea, y del Marco de Privacidad de Datos UE-EE. UU.
• GTranslate Inc. (Estados Unidos): solo si usas el selector de idioma (apartado 2.5). Según su política de privacidad, trata la información en servidores de Estados Unidos y de la Unión Europea.

6. Comunicaciones comerciales y baja

• Con los datos recogidos en la web, solo se envían comunicaciones comerciales por correo electrónico a quien se ha suscrito a los avisos Verifactu con su consentimiento previo y expreso (art. 21.1 LSSI). No se envía publicidad a quien usa el formulario de contacto ni a quien pide solo la checklist.
• Todos los avisos se tratan como comunicaciones comerciales: se identifican como tales e identifican siempre a su remitente, Jésica Carballo Yanes, aunque se envíen con el nombre comercial de su software de facturación (art. 20 LSSI).
• Cada aviso incluye un enlace de baja sencillo y gratuito y la dirección hello@jesicacarballo.com, en la que también puedes pedir la baja (art. 22.1 LSSI).
• Lista de exclusión: cuando te das de baja, tu dirección, o un código derivado de ella, se incluye en una lista de exclusión con el único fin de no volver a enviarte comunicaciones comerciales (art. 23.1 LOPDGDD). Contiene solo el dato imprescindible, no se usa para nada más y se conserva mientras sea necesaria para respetar tu baja. Si más adelante quieres volver a recibir los avisos, escribe a hello@jesicacarballo.com.
• Además, puedes inscribirte en los sistemas de exclusión publicitaria, como la Lista Robinson. La Agencia Española de Protección de Datos publica en su web la relación de estos sistemas (art. 23 LOPDGDD).

7. Tus derechos

Puedes ejercer en cualquier momento y sin coste estos derechos:

• Acceso: saber si se tratan datos tuyos y obtener una copia (art. 15 RGPD).
• Rectificación: corregir los datos inexactos o incompletos (art. 16 RGPD).
• Supresión: pedir que se borren (art. 17 RGPD). Si la ley obliga a conservar algún dato, se bloquea en lugar de borrarse, como se explica en el apartado 3. Si te habías suscrito a los avisos, tu dirección se mantiene además en la lista de exclusión, para respetar tu baja (apartado 6).
• Limitación: pedir que se conserven sin usarse, en los casos previstos (art. 18 RGPD).
• Portabilidad: recibir los datos que facilitaste en un formato estructurado y de uso común, cuando el tratamiento se basa en tu consentimiento o en un contrato (art. 20 RGPD).
• Oposición: oponerte a los tratamientos basados en el interés legítimo, por motivos relacionados con tu situación particular, y en todo caso a recibir comunicaciones comerciales (art. 21 RGPD).
• Retirar tu consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento anterior (art. 7.3 RGPD).
• No ser objeto de decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos sobre ti o te afecten de forma significativa (art. 22 RGPD). La web no toma decisiones de este tipo.

Cómo ejercerlos: escribe a hello@jesicacarballo.com indicando qué derecho quieres ejercer, preferiblemente desde la dirección de correo a la que se refiere tu petición. Solo si hay dudas razonables sobre tu identidad se te pedirá la información adicional necesaria para confirmarla (art. 12.6 RGPD). Recibirás respuesta en el plazo de un mes, que puede ampliarse otros dos meses en casos complejos; si es así, se te avisará dentro del primer mes (art. 12.3 RGPD).

Reclamación: si consideras que no se han respetado tus derechos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

8. Cookies

La web usa cookies técnicas necesarias para funcionar y para recordar tu elección sobre las cookies; en las páginas con formularios, la cookie de seguridad de reCAPTCHA (apartado 2.4); una cookie de preferencia si eliges otro idioma en el selector (apartado 2.5); y, solo si las aceptas, cookies de estadísticas de Google Analytics. Las cookies de estadísticas no se instalan hasta que las aceptas, y la de idioma solo cuando tú eliges otro idioma. Puedes cambiar tu elección sobre las cookies en cualquier momento desde el botón «Gestionar consentimiento». El detalle de cada cookie está en la política de cookies.

9. Otras informaciones

• Datos obligatorios: el correo electrónico es imprescindible en todos los formularios, y en la suscripción también lo es marcar la casilla: sin ellos no es posible responderte, enviarte la checklist ni suscribirte. Los demás campos son opcionales, salvo que el formulario indique otra cosa. Facilitar tus datos es voluntario: ninguna ley te obliga a ello.
• Datos verdaderos y propios: facilita datos verdaderos. Suscribe a los avisos solo una dirección tuya o que tengas autorización para usar, como la de tu despacho, y, si incluyes datos de otras personas en un mensaje, infórmalas antes.
• Menores: la web se dirige a profesionales y no está pensada para menores. Si tienes menos de 14 años, no facilites datos personales (art. 7 LOPDGDD).
• Seguridad: se aplican medidas técnicas y organizativas adecuadas al riesgo (art. 32 RGPD), como el cifrado de las comunicaciones con la web (HTTPS), el control de accesos y las copias de seguridad. Si se produjera una violación de seguridad que supusiera un alto riesgo para ti, se te comunicaría sin dilación (art. 34 RGPD).

10. Cambios en esta política

Esta política puede actualizarse por cambios legales o en la web. La versión vigente es siempre la publicada en esta página, con su fecha de última actualización. Si un cambio afecta de forma relevante a los avisos Verifactu, se comunicará por correo a las personas suscritas antes de aplicarlo y, si requiere un nuevo consentimiento, se les pedirá.