Para los datos de clientes, proveedores, facturas, gastos y personal que una organización introduce, esa organización decide los fines y actúa como responsable; PresuAI los trata como encargado para prestar el servicio, conforme a instrucciones y al acuerdo de encargo aplicable. Para administración de cuentas, facturación propia, seguridad, soporte y cumplimiento de obligaciones de PresuAI, el titular de la plataforma puede actuar como responsable independiente. El titular indicado en el Aviso Legal debe confirmar sus datos y domicilio antes de publicar.
2. Categorías de datos tratados
Datos de cuenta: nombre, email, identificador de usuario, organización y rol.
Datos de negocio introducidos por el cliente: clientes, proveedores, productos, presupuestos, facturas, gastos, movimientos bancarios importados, proyectos, empleados y nóminas.
Datos técnicos: registros de auditoría de acciones, estado de la cola de correo y trazas de error sin contenido de negocio.
Los recursos Firebase que están configurados en europe-west1 se alojan en esa región. Esto no implica que todos los proveedores, servicios de correo, fuentes externas o registros de seguridad traten los datos únicamente en la UE. No se venden datos ni se usan para publicidad conductual según la configuración de producto revisada; el titular debe confirmar que no existen integraciones publicitarias externas.
3. Subencargados actuales
Distinguimos expresamente integrado técnicamente (el código lo soporta y se usa en pruebas), configurado (hay credenciales cargadas en el entorno), contratado (existe relación comercial/contractual formal) y activo en producción (se usa con datos y/o cobros reales). Que algo esté integrado técnicamente no significa que esté activo comercialmente.
Proveedor
Finalidad
Ubicación
Estado real
Google Cloud / Firebase
Alojamiento web, autenticación, base de datos, almacenamiento y funciones que se encuentren efectivamente habilitados
El código configura funciones en europe-west1. La región debe verificarse por recurso en el proyecto; no se garantiza tratamiento exclusivo en la UE y los términos de Firebase contemplan operaciones de producto con ubicación distinta, incluida autenticación.
Hosting de producción confirmado; la configuración/contratación y ubicación de cada producto debe comprobarse en consola y contratos vigentes antes de aceptar este anexo
Google Fonts
Descarga de tipografías desde la interfaz
El recurso externo puede recibir datos de conexión; ubicación y garantías pendientes de confirmar
Referencia presente en documentos HTML; tráfico real del sitio pendiente de captura
Google (API de Gemini)
Texto y archivos enviados al solicitar generación o extracción mediante IA
Condiciones de Google: puede haber almacenamiento temporal o caché en países donde opere Google o sus agentes
Integración en el código; modelo, billing de producción, DPA y transferencias efectivas pendientes de confirmación
Stripe
Checkout, facturación y pagos Connect según el flujo utilizado
Ubicaciones, transferencias y garantías según producto y contrato; expediente pendiente
Checkout TEST completado en entorno aislado; la configuración, los roles y los términos LIVE deben verificarse por finalidad. No se afirma ausencia histórica de cobros
Resend
Correo transaccional e informativo
Ubicación, subencargados, transferencias y garantías según contrato; documentación pendiente
El proveedor marcó un mensaje de prueba como Delivered y se verificó su recepción en Hostinger. Además, el 11 de octubre se envió una respuesta desde el alias soporte@presuai.com al buzón principal; se recibió y se verificaron Remitente, Destinatario y Responder a
Agregador bancario (Open Banking / PSD2)
Importación automática de movimientos con consentimiento del titular
Por definir según proveedor final
Adaptadores de software preparados (GoCardless, Tink) pero sin proveedor contratado ni credenciales configuradas — no operativo
PENDIENTE DEL TITULAR: cotejar configuración y contratos actuales de Firebase/Google, Gemini, Resend y Stripe; confirmar DPA, subencargados, países y garantías; confirmar los plazos de conservación y borrado. El contacto público designado es soporte@presuai.com; el alias se probó como remitente y el mensaje se recibió en el buzón principal. Open Banking está fuera del servicio mientras no se contrate y habilite un proveedor. Esta tabla es un inventario de revisión, no certifica contratos.
4. Condiciones propuestas de encargo (artículo 28 RGPD)
Este texto es una propuesta no vinculante. Solo producirá efectos cuando se identifiquen las partes, se incorpore al contrato o acto jurídico aplicable y ambas partes lo acepten mediante un mecanismo válido que conserve prueba de la versión y fecha. No consta aceptación de esta versión.
Objeto, duración, naturaleza y finalidad: tratamiento de los datos que la organización introduce para prestar las funciones contratadas y mientras dure el servicio; operaciones de recogida, consulta, organización, alojamiento, modificación, extracción, exportación y soporte. IA y correo se usan únicamente si la función y el proveedor están efectivamente habilitados y el cliente inicia el flujo.
Interesados y datos: usuarios y miembros de la organización; clientes, proveedores, trabajadores y otras personas mencionadas por el cliente. Categorías potenciales: identificación/contacto, datos comerciales, documentos contables/fiscales, pagos, datos de personal incorporados por el cliente y metadatos de uso. El cliente no debe introducir categorías especiales salvo que el servicio y las garantías se hayan validado específicamente.
Instrucciones y confidencialidad: PresuAI tratará los datos por instrucciones documentadas del cliente, salvo obligación legal, e impondrá deber de confidencialidad a las personas autorizadas.
Seguridad: las reglas de Firestore y las funciones del servidor aplican controles de autenticación, pertenencia/rol y separación por organización; pruebas de reglas se ejecutan en el proyecto. No se afirma certificación, auditoría independiente, cifrado de extremo a extremo ni cobertura de controles de proveedores sin evidencia.
Subencargados: proveedores técnicamente presentes en el servicio incluyen Google Cloud/Firebase; Gemini, Resend, Stripe y Google Fonts tienen funciones o referencias en el código. Su estado de contratación, uso con datos reales, entidades, países, transferencias y DPAs no está acreditado completamente en este paquete. No debe aceptarse autorización general de subencargados hasta cerrar y publicar una lista verificable, aviso de cambios y oportunidad de objeción.
Transferencias internacionales: no existe garantía de residencia exclusiva en la UE. Antes de incorporar cada proveedor deben documentarse país, entidad, finalidad, mecanismo de transferencia aplicable y salvaguardas.
Asistencia y derechos: PresuAI atenderá solicitudes del cliente relativas a los datos tratados por su cuenta en la medida que permita el sistema y facilitará la información disponible. No se promete autoservicio ni borrado integral automático porque no se ha verificado esa función.
Seguridad, incidentes, evaluación y consultas: el encargado asistirá al responsable en la medida posible y conforme a la información disponible; comunicará violaciones de datos personales sin dilación indebida, cooperará con evaluaciones/consultas y entregará la información necesaria para acreditar obligaciones, respetando confidencialidad y seguridad.
Auditoría e instrucciones ilícitas: facilitará información razonablemente necesaria y permitirá auditorías proporcionadas conforme al contrato; informará al cliente si considera que una instrucción infringe la normativa aplicable.
Fin del tratamiento y conservación: el responsable podrá solicitar devolución o supresión, salvo obligaciones legales. Los objetivos de conservación acordados por el titular no se incorporan como plazos contractuales: no se han acreditado mecanismos de purga integral ni ciclos de proveedores que los garanticen. No debe aceptarse el plazo final de supresión/copia de este encargo hasta comprobar la implementación y las obligaciones de conservación.
BLOQUEO PARA HACER VINCULANTE ESTE ANEXO: falta cerrar los plazos y proceso de supresión/retorno y copias, la lista real de entidades subencargadas y transferencias, contratos/DPAs aplicables y el mecanismo de aceptación con registro de versión. Requiere revisión jurídica antes de incorporarse.
5. Medidas de seguridad
Reglas de Firestore con autenticación, pertenencia a la organización y permisos por rol; las pruebas de reglas del proyecto cubren denegación por defecto y separación de tenant. El resultado de pruebas no equivale a certificación externa.
Funciones servidoras para operaciones que requieren privilegios administrativos; no se afirma que cada operación de negocio tenga auditoría íntegra sin revisar el flujo concreto.
La generación de enlaces firmados por 15 minutos está verificada para descargas de copias de seguridad; no se extiende esa afirmación a todos los archivos.
Firebase Authentication gestiona las credenciales; PresuAI no almacena contraseñas de usuario en claro.
6. Derechos de los interesados
Las personas cuyos datos una organización incorpora deben dirigirse, en principio, a esa organización como responsable. PresuAI le prestará la asistencia del encargo aceptado. Propietarios y administradores disponen de una herramienta de exportación lógica en Ajustes; sus límites, formatos y vía de backup para volúmenes grandes deben revisarse antes de considerarla copia integral o de recuperación.
7. Conservación
Los plazos se determinarán por categoría, instrucción del responsable y obligación legal. En la versión candidata existe un flujo backend que registra la solicitud de cierre del propietario para revisión manual; por sí solo no inicia la supresión ni coordina la eliminación de Firebase Auth, Firestore, Storage, correo o proveedores. La callable administrativa heredada de purga recursiva está deshabilitada y no se utiliza para tramitar bajas. No se eliminan automáticamente documentos fiscales, auditoría ni datos de terceros.
Los objetivos internos de 30 días para datos principales y 90 días para copias quedan sin efecto contractual/publicitario hasta que se implementen y prueben todas las purgas y los ciclos de los proveedores. Los datos sujetos a obligaciones legales se bloquean o conservan por los periodos que correspondan. Las copias de seguridad actuales no tienen ciclo máximo acreditado en este expediente.
PENDIENTE TÉCNICO Y CONTRACTUAL: completar el proceso de revisión por categorías y supresión selectiva; verificar la eliminación o conservación controlada en Firebase Auth, Firestore y Storage; comprobar los ciclos reales de las copias y obtener confirmación documental de proveedores externos.