Política de Privacidad

1. Responsable del Tratamiento

FINBL LLC, con domicilio en 7901 4TH ST N SUITE 300, ST PETERSBURG, FL 33702, Estados Unidos (en adelante, «FINBL», «nosotros» o «la Plataforma»), es el responsable del tratamiento de tus datos personales. Esta Política de Privacidad describe cómo recopilamos, usamos, almacenamos y protegemos tus datos de conformidad con el Reglamento General de Protección de Datos (RGPD - Reglamento UE 2016/679), la Directiva de Servicios de Pago revisada (PSD2) y la legislación aplicable.

2. Datos que Recopilamos

Datos de identificación personal

• Nombre completo y nombre para mostrar
• Dirección de correo electrónico
• Número de teléfono (opcional)
• Fecha de nacimiento
• País de residencia
• Foto de perfil (opcional)
• Preferencias de idioma y zona horaria

Datos financieros

Obtenidos mediante Open Banking/PSD2, en modo de solo lectura:

• Nombre, tipo e IBAN parcial (últimos 4 dígitos) de tus cuentas bancarias
• Saldos (disponible y actual) y moneda
• Historial de transacciones: importes, comercios, descripciones, fechas y categorías
• Objetivos financieros y límites de gasto configurados por ti
• Información de préstamos y deudas registradas por ti

Datos de documentos

• Documentos financieros subidos (facturas, recibos, contratos, nóminas, declaraciones fiscales, extractos bancarios)
• Texto extraído mediante OCR y análisis de IA
• Metadatos de documentos (nombre, tipo, tamaño, fecha de subida)

Datos de interacción con IA

• Historial de conversaciones con el asistente de IA
• Contenido de mensajes (preguntas y respuestas)
• Memoria contextual del asistente (patrones e insights financieros)
• Métricas de uso del chat (tokens consumidos, modelo utilizado)

Datos técnicos y de uso

• Tipo de navegador y sistema operativo
• Dirección IP
• Datos de interacción con la plataforma
• Historial de alertas recibidas

Datos de pago

Procesados exclusivamente por Stripe (nunca almacenamos datos de tarjeta). Almacenamos únicamente tu ID de cliente de Stripe y la información de tu suscripción.

3. Base Legal del Tratamiento

Tratamos tus datos conforme a las siguientes bases legales del RGPD:

• Ejecución del contrato (Art. 6.1.b): prestación del servicio, gestión de cuenta, pagos y suscripciones.
• Consentimiento explícito (Art. 6.1.a): acceso a datos bancarios vía Open Banking/PSD2, análisis de documentos y conversaciones con IA.
• Interés legítimo (Art. 6.1.f): comunicaciones del servicio, seguridad, prevención de fraude y mejora del servicio.
• Obligación legal (Art. 6.1.c): cumplimiento de obligaciones legales y fiscales.

4. Finalidades del Tratamiento

• Gestión de tu cuenta: registro, autenticación, configuración de perfil y preferencias.
• Agregación bancaria: conexión con tus entidades bancarias mediante Open Banking (PSD2) para obtener información de cuentas y transacciones en modo de solo lectura.
• Análisis financiero: categorización de transacciones, generación de informes, seguimiento de objetivos y gestión de deudas.
• Asistente de IA: procesamiento de consultas mediante inteligencia artificial para proporcionar análisis financieros personalizados.
• Gestión de documentos: almacenamiento, análisis OCR y extracción de información de documentos financieros.
• Procesamiento de pagos: gestión de suscripciones y facturación a través de Stripe.
• Comunicaciones del servicio: notificaciones operativas, alertas financieras y actualizaciones del servicio.
• Seguridad: protección de tu cuenta, detección de accesos no autorizados y prevención de fraude.
• Mejora del servicio: análisis agregado y anonimizado del uso de la plataforma.

5. Destinatarios y Encargados del Tratamiento

Compartimos tus datos únicamente con los siguientes encargados del tratamiento, vinculados por acuerdos de procesamiento de datos (DPA):

• Supabase Inc. (EE.UU.) — Base de datos, autenticación y almacenamiento de todos los datos de la cuenta.
• Enable Banking Oy (Finlandia, UE) — Agregación bancaria PSD2, datos bancarios y credenciales cifradas.
• Stripe Inc. (EE.UU.) — Procesamiento de pagos: email, nombre y datos de facturación.
• OpenAI Inc. (EE.UU.) — Procesamiento de lenguaje natural: contenido de conversaciones y documentos.
• Resend Inc. (EE.UU.) — Envío de correos electrónicos: dirección de email.

No vendemos, alquilamos ni compartimos tus datos personales con terceros para fines de marketing. Podemos compartir datos cuando sea requerido por ley, orden judicial o autoridad competente.

6. Transferencias Internacionales de Datos

FINBL LLC tiene su sede en Estados Unidos. Para garantizar un nivel adecuado de protección, las transferencias fuera del EEE se amparan en:

• Cláusulas Contractuales Tipo (SCCs) aprobadas por la Comisión Europea (Decisión 2021/914).
• Marco de Privacidad de Datos UE-EE.UU. (EU-US Data Privacy Framework), cuando los destinatarios estén certificados.
• Medidas complementarias de seguridad técnica (cifrado en tránsito y en reposo).

Enable Banking Oy, nuestro proveedor de Open Banking, tiene su sede en Finlandia y opera íntegramente dentro del EEE.

7. Plazos de Conservación

• Datos de cuenta y perfil: mientras la cuenta esté activa + 30 días tras solicitud de eliminación.
• Datos bancarios y transacciones: mientras la cuenta esté activa + 5 años (obligación fiscal/contable).
• Conversaciones con IA: 2 años desde la última interacción, o hasta eliminación manual.
• Memoria del asistente IA: mientras la cuenta esté activa, eliminable por el usuario.
• Documentos subidos: mientras la cuenta esté activa, eliminables individualmente.
• Datos de facturación (Stripe): 7 años (obligación fiscal).
• Logs de seguridad: 30 días.
• Cookies de sesión: duración de la sesión.

Tras los plazos indicados, los datos se eliminan de forma segura o se anonimizan de manera irreversible.

8. Derechos del Interesado

De conformidad con el RGPD (Arts. 15-22), tienes los siguientes derechos:

• Derecho de acceso (Art. 15): solicitar una copia de todos tus datos personales.
• Derecho de rectificación (Art. 16): corregir datos inexactos o incompletos.
• Derecho de supresión (Art. 17): solicitar la eliminación de tus datos personales.
• Derecho a la limitación (Art. 18): solicitar que limitemos el tratamiento de tus datos.
• Derecho a la portabilidad (Art. 20): recibir tus datos en formato estructurado (JSON/CSV).
• Derecho de oposición (Art. 21): oponerte al tratamiento basado en interés legítimo.
• Derecho a no ser objeto de decisiones automatizadas (Art. 22): solicitar intervención humana.
• Derecho a retirar el consentimiento en cualquier momento sin afectar la licitud del tratamiento previo.

Para ejercer cualquiera de estos derechos, envía un email a privacy@finbl.com. Responderemos en un plazo máximo de 30 días.

9. Seguridad de los Datos

Medidas técnicas

• Cifrado en tránsito: todas las comunicaciones utilizan HTTPS/TLS 1.3.
• Cifrado en reposo: los datos se almacenan cifrados en los servidores.
• Cifrado de credenciales bancarias: sesiones bancarias cifradas con AES-256-GCM.
• Autenticación segura: tokens JWT con httpOnly cookies y renovación automática.
• Row Level Security (RLS): aislamiento de datos a nivel de base de datos.

Medidas organizativas

• Acceso restringido basado en el principio de mínimo privilegio.
• Revisiones de seguridad periódicas.
• Monitorización de accesos y actividad sospechosa.

10. Datos de Menores

FINBL no está dirigido a menores de 16 años. No recopilamos conscientemente datos de personas menores de 16 años. Si descubrimos que hemos recopilado datos de un menor sin el consentimiento parental adecuado, los eliminaremos de forma inmediata. Si eres padre o tutor, contacta con privacy@finbl.com.

11. Decisiones Automatizadas y Perfilado

FINBL utiliza sistemas automatizados para la categorización de transacciones mediante IA, el análisis financiero personalizado y las alertas automáticas basadas en reglas. Estas decisiones automatizadas no producen efectos jurídicos ni te afectan significativamente. Son herramientas informativas para ayudarte a gestionar tus finanzas. Puedes solicitar revisión humana contactando con privacy@finbl.com.

12. Open Banking y PSD2

El acceso a tus datos bancarios se realiza exclusivamente mediante Open Banking bajo la Directiva PSD2:

• Solo lectura: FINBL nunca puede realizar pagos ni modificar tus cuentas bancarias.
• Consentimiento explícito: cada conexión requiere tu autorización ante tu entidad bancaria.
• Renovación: los consentimientos PSD2 tienen una validez máxima de 90 días.
• Revocación: puedes revocar el acceso en cualquier momento desde FINBL o directamente con tu banco.

Nuestro proveedor Enable Banking Oy está registrado como AISP y regulado bajo PSD2.

13. Modificaciones de esta Política

Podemos actualizar esta Política periódicamente. En caso de cambios sustanciales, te notificaremos por correo electrónico con al menos 30 días de antelación y publicaremos un aviso en la plataforma.

14. Autoridad de Control

Si consideras que el tratamiento de tus datos vulnera el RGPD, tienes derecho a presentar una reclamación ante la autoridad de control competente de tu país de residencia. Para usuarios en España: Agencia Española de Protección de Datos (AEPD) — www.aepd.es

15. Contacto

Para cualquier consulta relacionada con esta Política de Privacidad o el tratamiento de tus datos personales: