Política de Privacidad

1. Responsable del tratamiento

ALMC SECURITY S.L.U. (en adelante, «ALMC») es la entidad responsable del tratamiento de los datos personales recabados a través de la plataforma VeriFactu SaaS, conforme al Reglamento (UE) 2016/679 General de Protección de Datos (RGPD) y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

2. Datos que recogemos

2.1. Datos de registro

• Denominación social o nombre comercial de la empresa.
• Número de Identificación Fiscal (NIF/CIF).
• Dirección de correo electrónico corporativo.
• Teléfono de contacto (opcional).
• Contraseña de acceso (almacenada con hash bcrypt, nunca en texto plano).

2.2. Datos de facturación

• Dirección fiscal de la empresa.
• Datos de pago: procesados íntegramente por Revolut como procesador de pagos. ALMC no almacena números de tarjeta de crédito/débito ni datos bancarios completos. Únicamente se conserva un identificador de referencia de la transacción.

2.3. Datos de uso del servicio

• Facturas electrónicas enviadas a la AEAT (datos fiscales del emisor y del destinatario).
• Registros (logs) de llamadas a la API: método, endpoint, código de respuesta, marca temporal.
• Direcciones IP de acceso.
• Datos de navegación en el panel de administración (páginas visitadas, acciones realizadas).

2.4. Certificados digitales

• Archivos de certificado digital (.pfx/.p12) proporcionados por el Usuario.
• Almacenados con cifrado AES-256-GCM de nivel bancario mediante derivación de claves HKDF (envelope encryption).
• Las contraseñas de los certificados se cifran de forma independiente.
• En ningún caso se almacenan certificados o contraseñas en texto plano.

3. Base legal del tratamiento

4. Finalidades del tratamiento

Los datos personales recabados se tratan con las siguientes finalidades:

• Prestación del servicio: gestión de la cuenta, procesamiento de facturas electrónicas, firma digital y envío a la AEAT.
• Facturación: emisión de facturas por los servicios contratados y gestión de cobros.
• Seguridad: monitorización de accesos, prevención de fraude y protección de la integridad del sistema.
• Comunicaciones de servicio: notificaciones técnicas, cambios en los términos, alertas de seguridad y comunicaciones operativas esenciales.
• Mejora del servicio: análisis agregado y anónimo de patrones de uso para optimizar la plataforma.

ALMC no envía comunicaciones comerciales ni newsletters sin el consentimiento explícito del Usuario.

5. Destinatarios de los datos

ALMC no vende, alquila ni cede datos personales a terceros con fines comerciales o publicitarios. Los datos únicamente se comunican a los destinatarios indicados y para las finalidades expuestas.

6. Transferencias internacionales

Los servidores que alojan la plataforma VeriFactu SaaS se encuentran ubicados en España, dentro del Espacio Económico Europeo (EEE).

ALMC no realiza transferencias de datos personales fuera del EEE. En el supuesto de que fuera necesario en el futuro, se garantizará la aplicación de las garantías adecuadas previstas en los artículos 46 y siguientes del RGPD (cláusulas contractuales tipo, decisiones de adecuación, etc.).

7. Conservación de datos

Transcurridos los plazos indicados, los datos serán eliminados de forma segura o anonimizados de manera irreversible.

8. Derechos del interesado

Conforme al RGPD y la LOPDGDD, el Usuario tiene derecho a:

• Acceso: obtener confirmación de si se tratan sus datos y acceder a los mismos.
• Rectificación: solicitar la corrección de datos inexactos o incompletos.
• Supresión: solicitar la eliminación de sus datos cuando ya no sean necesarios para la finalidad para la que fueron recogidos.
• Portabilidad: recibir sus datos en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable.
• Oposición: oponerse al tratamiento de sus datos en determinadas circunstancias.
• Limitación: solicitar la limitación del tratamiento en los supuestos previstos por la normativa.

Para ejercer cualquiera de estos derechos, el Usuario puede dirigirse a:

Email:privacidad@almc.es

ALMC responderá a la solicitud en el plazo máximo de un (1) mes desde su recepción, pudiendo ampliarse en dos meses adicionales en caso de solicitudes complejas o numerosas, informando al interesado de dicha ampliación.

9. Medidas de seguridad

ALMC aplica medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos personales, incluyendo:

9.1. Cifrado en tránsito

Todas las comunicaciones entre el Usuario y la plataforma se realizan mediante TLS 1.3 (HTTPS), garantizando la confidencialidad e integridad de los datos en tránsito.

9.2. Cifrado en reposo

• Certificados digitales: HKDF + AES-256-GCM (envelope encryption).
• Contraseñas de usuario: hash bcrypt con factor de coste adaptativo.
• Contraseñas de certificados: cifrado simétrico independiente.
• Backups: cifrados en reposo.

9.3. Control de acceso

• API keys con hash SHA-256 (solo se almacena el hash, nunca la clave completa).
• Acceso a la infraestructura restringido al personal autorizado.
• Principio de mínimo privilegio en todos los accesos internos.

9.4. Registros de auditoría

Todas las operaciones relevantes (acceso, creación de facturas, subida de certificados, cambios de configuración) quedan registradas en logs de auditoría con marca temporal, IP de origen y usuario responsable.

10. Cookies

La plataforma VeriFactu SaaS utiliza únicamente cookies técnicas de sesión, estrictamente necesarias para el funcionamiento del servicio. Estas cookies:

• Permiten mantener la sesión del usuario autenticado.
• Se eliminan automáticamente al cerrar el navegador o al expirar la sesión.
• No recogen datos personales con fines publicitarios ni de perfilado.
• No se comparten con terceros.

ALMC no utiliza cookies de seguimiento, analítica ni publicidad en la plataforma VeriFactu SaaS.

11. Modificaciones de esta política

ALMC se reserva el derecho de modificar la presente Política de Privacidad para adaptarla a novedades legislativas o jurisprudenciales. Las modificaciones sustanciales serán comunicadas al Usuario con un preaviso mínimo de treinta (30) días naturales mediante correo electrónico.

Se recomienda al Usuario revisar periódicamente esta política. La fecha de última actualización se indica en la cabecera del documento.

12. Contacto y reclamaciones

Para cualquier cuestión relacionada con el tratamiento de datos personales, el Usuario puede contactar con ALMC a través de:

• Email de privacidad:privacidad@almc.es
• Email general:soporte@almc.es

Si el Usuario considera que el tratamiento de sus datos personales vulnera la normativa vigente, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD):

• Web:www.aepd.es
• Dirección: C/ Jorge Juan, 6 — 28001 Madrid