Política de privacidad

2.1. Responsable del tratamiento

Identidad: Agentia Codex S.L. (sociedad en constitución) (“Agentia”)

NIF: en trámite (sociedad en constitución)

Domicilio: Avda. Teodomiro 30, Entlo 1 — 03300 Orihuela (Alicante), España

Contacto para protección de datos: privacidad@agentiacontable.com

Delegado de Protección de Datos (DPD): no designado a fecha de hoy. Las consultas y el ejercicio de derechos se atienden en el correo anterior. Si se designa, esta política se actualizará con su identidad y su canal de contacto.

2.2. En qué condición actúa Agentia

Agentia trata datos personales en dos condiciones distintas, y esta política se aplica a cada una según se indica:

• Como responsable del tratamiento de los datos de las personas que se relacionan directamente con Agentia: quienes visitan el sitio web, piden una propuesta, escriben a Agentia, usan el panel de contable.cloud por cuenta de una asesoría o de una empresa cliente, y las personas de contacto y facturación de los clientes del servicio. Los apartados 2.3 y 2.4 describen estos tratamientos.
• Como encargada del tratamiento de los datos que contienen los documentos y la contabilidad de cada empresa a la que se presta el servicio (sus clientes, proveedores, empleados y personas de contacto, movimientos bancarios, nóminas recibidas y documentos). De esos datos es responsable la empresa. Cuando el servicio lo contrata su asesoría, la asesoría es encargada de la empresa y Agentia es su subencargada; cuando lo contrata la propia empresa, Agentia es su encargada. Agentia los trata únicamente por cuenta de quien le hace el encargo y siguiendo sus instrucciones, con arreglo al Contrato de encargo del tratamiento. El apartado 2.5 lo resume.

2.3. Datos que tratamos como responsable

2.3.1. Personas usuarias de la Plataforma

• Cuenta: correo electrónico, nombre, contraseña (solo su resumen cifrado, gestionado por el proveedor de autenticación), preferencias (tema, densidad, atajos, avisos por correo), segundo factor de autenticación (TOTP) cuando se activa.
• Pertenencia y rol: organizaciones a las que pertenece, rol en cada una, invitaciones enviadas y aceptadas, estado de aprobación de la cuenta y su origen.
• Aceptaciones y consentimientos: fecha, hora y versión de las Condiciones generales y de esta política aceptados y, en la aceptación de las Condiciones generales al crear la cuenta y cada vez que se acepta una versión nueva de las Condiciones generales, la dirección IP y el agente de usuario del navegador desde el que se aceptaron, que Agentia guarda en su registro de auditoría como prueba de la aceptación; consentimiento para comunicaciones comerciales; preferencias de cookies (en el propio navegador).
• Uso y seguridad: registro de auditoría de las acciones relevantes en la Plataforma (quién hizo qué y cuándo; la dirección IP y el agente de usuario del navegador solo se anotan en la aceptación de las Condiciones generales, como se indica arriba; cuando un asistente externo conectado por MCP propone un asiento, se anota con la propuesta el identificador de la aplicación cliente que la envía, su cabecera User-Agent de hasta 120 caracteres, junto a la clave de API usada), los registros del servicio de autenticación, que guarda en la misma base de datos la dirección IP y el agente de usuario de las sesiones y de los accesos, métricas técnicas de las operaciones de IA (unidades consumidas, latencia, coste) y registros técnicos de los proveedores de infraestructura (direcciones IP y peticiones), necesarios para operar y proteger el servicio. La dirección IP de quien intenta pagar por un enlace de pago se usa en el momento, sin guardarse en la base de datos de Agentia, para limitar los intentos repetidos (los enlaces de pago son una función del programa que el servicio no ofrece). Desde el 1 de octubre de 2026 la Plataforma cuenta además las visitas a cada pantalla de la zona autenticada por organización y día (la ruta de la pantalla sin identificadores y el número de visitas; no se guarda qué persona la visitó), para medir de forma agregada qué partes se usan y cuáles no; el detalle diario se conserva 24 meses y después solo el resumen mensual.
• Claves e integraciones: claves de API (solo su huella), webhooks configurados, tokens de la agenda y secretos del buzón de captura, vinculados a la persona que los crea.
• Comunicaciones con Agentia: los correos que la persona envía a los buzones de contacto, soporte o privacidad.

2.3.2. Contratación y facturación del servicio

• Razón social o nombre, NIF, domicilio y correo del cliente que contrata; nombre y cargo de quien firma la propuesta en su nombre y de las personas de contacto; la propuesta firmada, la versión de las Condiciones generales que incorpora y las facturas que emite Agentia.

2.3.3. Visitantes del sitio web y suscriptores del boletín

• Medición de audiencia: el sitio público utiliza Plausible Analytics, que no instala cookies ni identificadores y produce estadísticas agregadas (página visitada, origen, país, navegador). Puede desactivarse desde el panel de cookies.
• Boletín: correo electrónico, fecha y versión de la política aceptada, dirección IP y agente de usuario del navegador en el momento de la suscripción (como prueba del consentimiento), confirmación en dos pasos (doble opt-in) y estado de la suscripción.
• Solicitud de propuesta (el formulario «Pide propuesta» de la página de inicio y de la página para asesorías): nombre, correo electrónico, la empresa o el despacho y el programa de contabilidad que utiliza (si los indica), la página desde la que se envía, fecha, y dirección IP y agente de usuario del navegador en el momento del consentimiento. Se usa para estudiar la solicitud, contestarla por correo y, si interesa, preparar y enviar una propuesta del servicio; cada solicitud nueva se comunica por correo al buzón comercial de Agentia (si se repite con el mismo correo, se actualizan los datos sin un aviso nuevo).
• Registros técnicos: direcciones IP y peticiones en los registros de los proveedores de alojamiento, con fines de seguridad.

2.3.4. Lo que Agentia no trata como responsable

Agentia no elabora perfiles de las personas usuarias, no utiliza sus datos ni los de las organizaciones para entrenar modelos de inteligencia artificial, no vende ni cede datos a terceros con fines comerciales y no adopta decisiones automatizadas con efectos jurídicos sobre las personas. La puntuación de clientes potenciales del módulo CRM (apartado 2.5.1) la usa Agentia solo en su propio CRM (apartado 2.4), nunca sobre datos de las empresas.

2.4. Finalidades y bases jurídicas

Cuando la base jurídica es el interés legítimo, Agentia ha ponderado que se trata de tratamientos que las personas pueden esperar razonablemente en un servicio profesional, con impacto limitado, y las personas pueden oponerse en cualquier momento (apartado 2.10).

2.5. Datos de las empresas: Agentia como encargada

Para prestar el servicio, Agentia trata los datos que contienen los documentos y la contabilidad de cada empresa: datos identificativos y de contacto de sus clientes, proveedores y otros terceros (nombre, NIF, dirección, correo, teléfono, cuenta bancaria), facturas y documentos justificativos, movimientos bancarios y cuentas financieras, vencimientos, cobros y pagos, las nóminas que la empresa recibe ya calculadas y los datos de sus empleados que contienen (identificación, IBAN, salario, retenciones y cotizaciones), los correos que llegan al buzón del servicio con sus adjuntos y los documentos que se dejan en la carpeta compartida, con quién los dejó. Cuando la empresa contesta por correo a una petición de su asesoría, se guarda quién la contesta y el texto de su respuesta (sin lo citado del correo anterior) para que la asesoría lo lea, mientras la petición esté abierta y 90 días después de cerrarse; después se borra.

De esos datos es responsable la empresa: debe contar con base jurídica, informar a las personas y atender sus derechos. Agentia los trata únicamente para prestar el servicio, siguiendo las instrucciones documentadas de la asesoría o de la empresa que se lo encarga, con las medidas de seguridad del apartado 2.11 y con los proveedores del apartado 2.7 como subencargados. Las condiciones completas (objeto, duración, obligaciones, subencargados, brechas, devolución y supresión) están en el Contrato de encargo del tratamiento. Si usted es cliente, proveedor o empleado de una empresa cuya contabilidad se prepara con este servicio, diríjase a esa empresa o a su asesoría para ejercer sus derechos; Agentia les ayudará a atenderlos.

El equipo de Agentia. Prestar el servicio exige que las personas autorizadas del equipo de Agentia accedan a los documentos y a la contabilidad de cada empresa para leerlos, proponer la contabilidad y revisarla. Lo hacen por cuenta de quien encarga el servicio, con deber de confidencialidad y solo para el servicio, y cada revisión y cada cambio queda anotado en el registro de auditoría con quién lo hizo y cuándo. El acceso técnico a la infraestructura se rige por las medidas del apartado 2.11.

Aprobación del cierre: cuando la Plataforma pide a una asesoría, o a la empresa cuya contabilidad lleva, que apruebe el cierre de un trimestre por un enlace, trata los datos de quien aprueba o rechaza (nombre, correo electrónico al que se mandó el enlace y, si entra con su cuenta, su usuario) y, como evidencias, la fecha y la hora del servidor de cada apertura del enlace, descarga de un fichero, envío y verificación del código de un solo uso, aprobación o rechazo, con la dirección IP y el agente de usuario del navegador desde el que se hicieron, la huella criptográfica (SHA-256) de los ficheros aprobados y de la aprobación y lo que el navegador declara al aprobar (tamaño de pantalla, idioma y zona horaria). El enlace y el código se envían al correo y la base de datos guarda solo sus huellas. Esas evidencias y el documento de la aprobación que se deja en la carpeta de la empresa son datos de la organización: siguen sus instrucciones y el plazo de conservación de su contabilidad (apartado 2.9). Es una firma electrónica simple.

2.5.1. Lo que la Plataforma tenía y el servicio no usa

El programa con el que Agentia presta el servicio tenía funciones que el servicio no ofrece: el módulo de gestión comercial (Agentia CRM), la firma de documentos con evidencias, la entrega de facturas entre organizaciones de la Plataforma y el portal del cliente de Agentia. Ningún cliente del servicio las usa y no tratan datos de sus empresas. Agentia usa el módulo CRM solo para su propia relación comercial (apartado 2.4), como responsable.

2.6. Inteligencia artificial

El servicio se apoya en modelos de inteligencia artificial de proveedores externos para leer los documentos que llegan (el documento completo viaja al proveedor), clasificar los movimientos bancarios (concepto, detalle e importe), leer los extractos en PDF, emparejar cada cobro o pago con su factura o su vencimiento (fecha, importe, concepto y, del candidato, nombre y NIF del tercero y número de documento) y, cuando se active, comprobar la lectura de una factura con un modelo de decisión que recibe su texto (proveedor, NIF, números, fechas e importes) y, cuando hay desacuerdo, con una segunda lectura del documento. Cuando se active, un modelo de decisión valorará además si una persona debe revisar cada propuesta antes de darla por buena: recibe los importes, la cuenta propuesta, el concepto (que puede llevar el nombre de la otra parte de la operación) y lo que ya se comprobó, nunca el NIF, la cuenta bancaria completa ni el documento; esa valoración solo ordena el trabajo de revisión del equipo de Agentia y nunca evita una revisión. El asistente del panel es una herramienta interna del equipo de Agentia. No se envían contraseñas, claves, segundos factores ni certificados. En el modo conversación por voz, lo que la persona dice se convierte en texto con un modelo de reconocimiento de voz (Deepgram Nova-3) y las respuestas se leen con un modelo de síntesis (Deepgram Aura-2), ambos ejecutados en la plataforma Workers AI de Cloudflare (encargada del tratamiento), o, cuando la aplicación no dispone de ellos, con el reconocimiento y la síntesis del propio navegador de la persona; el modelo de inteligencia artificial recibe solo el texto, como en el chat; la transcripción literal de cada turno queda en la conversación del asistente, como evidencia de lo que se decidió, y el audio no se conserva. La persona acepta este tratamiento antes de su primera conversación y el asistente se presenta como inteligencia artificial al empezar cada una.

Inteligencia artificial y revisión profesional. En contable.cloud, nuestro sistema de inteligencia artificial hace parte del trabajo: lee las facturas y los extractos y propone la contabilidad y los ficheros del cierre. Nuestro equipo comprueba que los datos y el funcionamiento son correctos: lo que la inteligencia artificial no tiene claro pasa a un profesional, y los proveedores nuevos y los importes altos se revisan siempre. Nuestra revisión no alcanza al 100 % de lo procesado y puede haber errores. La revisión final corresponde a la asesoría o a la empresa, porque nadie conoce mejor su contabilidad: antes de importar el trabajo en su programa o de presentar cualquier declaración, quien lo recibe debe revisarlo. Detrás del servicio hay un grupo de profesionales a disposición de las asesorías y de las empresas que nos contratan para cualquier duda contable. Ninguna cifra que publiquemos es una garantía de acierto.

Los proveedores actúan como subencargados de Agentia, bajo contrato de encargo, no utilizan los datos para entrenar sus modelos, los conservan durante un plazo limitado para la detección de abusos y los eliminan después. La lista de proveedores con los que Agentia mantiene relación contractual o prevista, su ubicación y sus garantías se publican en la página de proveedores de modelos de IA, que Agentia mantiene actualizada; cualquier alta o baja se comunica con al menos 7 días naturales de antelación, con un aviso en la Plataforma a quien administra cada organización (y por correo a quien lo tenga activado) que enlaza a Mi organización › Proveedores de IA, y hasta esa fecha el proveedor nuevo no recibe ningún dato. Agentia exige a cada proveedor de esa lista, como condición de admisión al catálogo y antes de dirigirle la primera operación, que estén firmados o aceptados su contrato de encargo del tratamiento y las garantías de transferencia internacional que correspondan; el estado de cada proveedor consta en un registro interno de comprobaciones. Cuál de ellos interviene en cada operación responde a criterios técnicos y no se publica; quien encarga el servicio puede pedir a Agentia esa información, que Agentia facilitará en un plazo de diez días hábiles y con deber de confidencialidad.

Sin decisiones automatizadas. Las propuestas de la IA nunca producen efectos contables ni fiscales sin que las revise y las apruebe una persona, del equipo de Agentia o de la asesoría. No existe ningún tratamiento del artículo 22 del RGPD.

Transparencia (Reglamento (UE) 2024/1689, artículo 50). Los informes, las hojas de cálculo del cierre y el panel llevan el aviso de inteligencia artificial, sin nombrar a los proveedores. La autoridad de supervisión en España es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA).

2.7. Destinatarios de los datos y encargados

Agentia no cede datos personales a terceros salvo obligación legal o requerimiento de una autoridad competente (por ejemplo, la Agencia Tributaria o un juzgado). Los ficheros del servicio se entregan en la carpeta de la asesoría o de la empresa, que es de quien encarga el servicio; Agentia no presenta nada ante ninguna Administración.

Para prestar el servicio, Agentia utiliza los siguientes proveedores, que actúan como encargados del tratamiento (o subencargados respecto de los datos de las organizaciones) con contrato de encargo conforme al artículo 28 del RGPD:

Lo que el servicio no usa. El servicio no tiene conexión directa con los bancos ni cobra facturas por cuenta de nadie: la conexión bancaria PSD2 y el cobro por pasarela que el programa tiene construidos están apagados y ningún proveedor de esos servicios ha recibido dato alguno. Cualquier encargado nuevo, y cualquier proveedor de modelos de IA distinto de los publicados en /proveedores-ia, se anunciará con al menos 7 días de antelación antes de tratar ningún dato.

2.8. Transferencias internacionales

Los datos se alojan en la Unión Europea. Algunos proveedores —los de modelos de IA que no tratan en la Unión Europea, Resend, Cloudflare, Sentry si su región no es la Unión Europea, Meta si su plataforma de WhatsApp Business no trata en la Unión Europea y el soporte técnico de Supabase— tratan datos desde Estados Unidos o desde otros países. Esas transferencias se amparan en:

• Las Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, incorporadas al contrato de encargo de cada proveedor.
• La Decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. (10 de julio de 2023), respecto de los proveedores que figuran en su lista oficial de adhesión.
• Una evaluación de impacto de la transferencia por proveedor, que forma parte del expediente de protección de datos de Agentia y se facilita a las organizaciones que la soliciten.

2.9. Plazos de conservación

2.10. Derechos de las personas

Cualquier persona puede ejercer los derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, y retirar el consentimiento en cualquier momento sin que ello afecte a la licitud del tratamiento anterior. Para ejercerlos, escriba a privacidad@agentiacontable.com desde el correo de su cuenta o adjuntando un documento que acredite su identidad, o por correo postal al domicilio del responsable. Agentia responde en el plazo máximo de un mes, prorrogable dos meses más en casos complejos, informando de ello.

Desde la propia Plataforma, cada persona puede descargar sus datos personales en formato estructurado y solicitar la eliminación de su cuenta (Mi cuenta › Datos y privacidad), gestionar sus preferencias de avisos por correo y darse de baja del boletín desde cualquiera de sus envíos.

Si el tratamiento lo realiza Agentia como encargada por cuenta de una organización (apartado 2.5), la solicitud se trasladará a esa organización, que es quien debe resolverla, y Agentia le prestará la asistencia necesaria.

Reclamación: si considera que sus derechos no se han atendido correctamente, puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es), sin perjuicio de dirigirse antes a Agentia.

2.11. Medidas de seguridad

Agentia aplica las medidas técnicas y organizativas que describe el anexo de seguridad del Contrato de encargo del tratamiento. Entre ellas:

• Cifrado de los datos en tránsito (TLS) y en reposo en la base de datos y en el almacenamiento de ficheros.
• Aislamiento de los datos de cada organización en la propia base de datos (políticas de seguridad por fila activadas y forzadas en todas las tablas que contienen datos de organizaciones), de modo que ninguna consulta puede cruzar organizaciones.
• Control de acceso por roles y verificación en dos pasos, obligatoria para las personas titulares de organizaciones compartidas; caducidad de la sesión por inactividad.
• Custodia cifrada de los certificados electrónicos (AES-256-GCM) con una clave que no sale del servidor.
• Registro de auditoría de los cambios relevantes y borrado lógico previo a cualquier supresión definitiva.
• Cabeceras de seguridad del navegador (política de seguridad de contenidos en modo de bloqueo, entre otras) y cookies de sesión seguras.
• Límites de uso en las operaciones de IA y en los puntos de acceso sensibles; claves de API almacenadas solo como huella.
• Copias de seguridad de la base de datos gestionadas por el proveedor de infraestructura.
• Secretos de los proveedores solo en el servidor; auditorías de seguridad periódicas y corrección de sus hallazgos.
• Procedimiento de gestión de violaciones de seguridad, con notificación a la AEPD en 72 horas cuando proceda y comunicación a las organizaciones afectadas sin dilación indebida.

2.12. Menores de edad

La Plataforma se dirige a empresas y profesionales. No se recogen intencionadamente datos de menores de 18 años; si se detectara una cuenta de un menor, se suprimirían sus datos.

2.13. Versiones y modificación

Esta política lleva un número de versión y una fecha, que son los que se registran en cada consentimiento. Agentia puede modificarla para adaptarla a cambios normativos o del servicio; los cambios sustanciales se comunican a las personas usuarias con antelación razonable y, cuando la ley lo exija, se solicita un nuevo consentimiento. La versión vigente está siempre en agentiacontable.com/privacidad y las anteriores se facilitan a quien las solicite.