Política de Privacidad

Responsable del tratamiento

CERTIFIRM S.L.U. (en adelante, «Certifirm»), domiciliada en España, con correo electrónico de contacto: [email protected].

Doble rol: Responsable y Encargado del tratamiento

Certifirm actúa en dos roles distintos según el contexto:

• Como Responsable del tratamiento cuando trata datos de sus propios clientes (usuarios registrados): gestión de cuenta, facturación, soporte y análisis estadístico.
• Como Encargado del tratamiento cuando un cliente de Certifirm envía un documento a un firmante. En este caso, el cliente es el Responsable del tratamiento de los datos del firmante y Certifirm actúa por su cuenta y bajo sus instrucciones. El cliente debe informar a sus firmantes de conformidad con el RGPD antes de iniciar un proceso de firma.

La presente política se aplica al tratamiento del que Certifirm es Responsable. Los firmantes que deseen ejercer sus derechos en relación con un documento concreto deben dirigirse al remitente de dicho documento.

Las condiciones en las que Certifirm actúa como Encargado del tratamiento en nombre de sus clientes se regulan en detalle en el Anexo I — Encargo del Tratamiento (DPA) de las Condiciones del Servicio, conforme al artículo 28 del RGPD.

Datos de los clientes (usuarios registrados)

Para la prestación del servicio tratamos los siguientes datos de los usuarios con cuenta en Certifirm:

• Datos de registro y cuenta: nombre, dirección de correo electrónico, contraseña cifrada.
• Datos de facturación: NIF/CIF, razón social o nombre completo, dirección fiscal.
• Agenda de contactos: nombre, correo electrónico, teléfono y empresa de las personas que el cliente introduce como destinatarios habituales de sus envíos. Estos datos son responsabilidad del cliente y Certifirm los trata exclusivamente para facilitar el envío de documentos.
• Datos de navegación: dirección IP, tipo de navegador, páginas visitadas y duración de la sesión, recogidos mediante Google Analytics. En el sitio web público, solo con consentimiento previo a través del banner de cookies. En la aplicación, al aceptar las Condiciones del Servicio durante el registro.
• Datos de diagnóstico técnico: en caso de error en la aplicación, se envía automáticamente al equipo de Certifirm el mensaje de error, el stack trace y datos técnicos del dispositivo (navegador, sistema operativo, tipo de dispositivo) para su resolución. Esta información no incluye datos personales del usuario ni documentos. La base jurídica es el interés legítimo de Certifirm en garantizar el correcto funcionamiento del servicio (art. 6.1.f RGPD).
• Datos de soporte: información proporcionada a través de formularios o correo de atención al cliente.

Datos recogidos durante el proceso de firma (firmantes)

Cuando un firmante accede a un documento para firmarlo, Certifirm recoge en su nombre —y por cuenta del remitente— los siguientes datos, en función de las opciones que el remitente haya configurado para ese envío:

• Datos de contacto del firmante: dirección de correo electrónico y, cuando se requiera verificación por SMS, número de teléfono.
• Código OTP por SMS: cuando el remitente activa la verificación por SMS, se genera un código de un solo uso que se envía al número de teléfono del firmante a través de Brevo (Sendinblue S.A.). El número de teléfono y la referencia del mensaje son transferidos a Brevo únicamente con este fin.
• Datos técnicos en el momento de la firma: dirección IP del firmante, cabeceras HTTP (incluido el User-Agent del navegador), y marca de tiempo exacta de la firma. Estos metadatos se recogen como evidencia del proceso y se incorporan al informe certificado. Los datos personales y biométricos, en cambio, se almacenan cifrados de forma separada, vinculados al proceso únicamente a través de su hash criptográfico.
• Documentación de identidad (cuando el remitente lo exige): fotografía del documento de identificación (DNI, pasaporte u otro documento con código MRZ) y los datos extraídos de dicho código: nombre, apellidos, número de documento, nacionalidad, fecha de nacimiento y fecha de caducidad. La extracción se realiza mediante Google Cloud Vision API (Google LLC), que procesa la imagen del documento y devuelve el texto reconocido.
• Datos biométricos — Firma manuscrita (categoría especial, art. 9 RGPD, cuando el remitente lo exige): trazo y datos biométricos de la firma manuscrita realizada por el firmante sobre su dispositivo. El tratamiento se basa en el consentimiento explícito del firmante, prestado antes de iniciar el proceso.
• Datos biométricos — Verificación liveness (categoría especial, art. 9 RGPD, cuando el remitente lo exige): fotogramas del rostro del firmante obtenidos durante la prueba de detección de vida (imagen frontal, boca abierta, giro izquierda, giro derecha), junto con las métricas de la sesión y los hashes SHA-256 de cada artefacto. El tratamiento se basa en el consentimiento explícito del firmante, prestado antes de iniciar el proceso.

Al finalizar el proceso se genera un informe certificado que contiene la huella criptográfica (hash SHA-256) del documento, el sello de tiempo RFC 3161 emitido por Izenpe (TSA acreditada) y los metadatos del proceso (IP, dispositivo, acciones). Los datos personales y biométricos del firmante no se incorporan directamente al informe: se almacenan cifrados de forma separada y se vinculan al proceso mediante sus hashes. Esta información podrá ser puesta a disposición de autoridades competentes que la requieran legalmente. El informe se entrega al remitente y, opcionalmente, al propio firmante. El firmante es informado de los tratamientos aplicables y presta su consentimiento antes de iniciar el proceso.

Finalidades y base jurídica del tratamiento

¿Con quién compartimos tus datos?

No cedemos tus datos a terceros salvo en los siguientes casos:

• Proveedores de infraestructura tecnológica (alojamiento, servidores) que actúan como encargados del tratamiento bajo contrato de protección de datos.
• Brevo (Sendinblue S.A.), para el envío de correos electrónicos transaccionales (notificaciones de firma) y de SMS con códigos OTP. Brevo procesa el correo electrónico y el número de teléfono del firmante exclusivamente para este fin. Brevo está establecida en la Unión Europea y cumple con el RGPD.
• Google LLC — Google Cloud Vision API, cuando se exige verificación de identidad mediante documento MRZ. La imagen del documento de identidad del firmante es enviada a Google Cloud Vision para su reconocimiento óptico de caracteres. Google LLC participa en el Marco de Privacidad de Datos UE-EE.UU. y cuenta con las garantías adecuadas exigidas por el RGPD.
• Google LLC — Google Analytics 4, para el análisis estadístico del uso de la web pública (si aceptaste las cookies de analítica) y de la aplicación (si aceptaste las Condiciones del Servicio al registrarte). Google puede transferir datos a Estados Unidos bajo el Marco de Privacidad de Datos UE-EE.UU.
• Autoridades competentes, cuando exista una obligación legal de comunicación.

¿Cuánto tiempo conservamos tus datos?

• Datos de cuenta: mientras mantengas tu cuenta activa y, tras la cancelación, durante el plazo de prescripción de las responsabilidades legales aplicables.
• Datos de facturación: el plazo mínimo exigido por la legislación fiscal vigente (actualmente 5 años).
• Documentos e informes de firma certificados: el tiempo acordado en el contrato de servicio o el mínimo legal exigido según el tipo de documento.
• Datos biométricos y de identidad del firmante: almacenados cifrados de forma separada al informe certificado y vinculados al proceso mediante hash. La imagen de la firma manuscrita queda incorporada en el informe certificado y se conserva el mismo plazo que este. Las imágenes del documento de identidad y de la verificación de presencia (liveness) se eliminan automáticamente al concluir la revisión de identidad, con un plazo máximo de 40 días. Ningún dato biométrico se utiliza para ninguna otra finalidad ni se almacena en claro salvo requerimiento de autoridad competente.
• Agenda de contactos: mientras el cliente mantenga su cuenta activa o hasta que los elimine.
• Datos de analítica: 14 meses desde la recogida (configuración estándar de GA4).
• Preferencias de cookies: 1 año desde su almacenamiento en tu dispositivo.

Tus derechos

Como titular de los datos, tienes derecho a:

• Acceso: conocer qué datos personales tuyos tratamos.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: solicitar la eliminación de tus datos cuando ya no sean necesarios.
• Oposición: oponerte al tratamiento basado en interés legítimo.
• Limitación del tratamiento: solicitar que suspendamos el tratamiento mientras resolvemos alguna controversia.
• Portabilidad: recibir tus datos en formato estructurado y legible por máquina.
• Retirar el consentimiento: en cualquier momento para los tratamientos basados en tu consentimiento (por ejemplo, cookies de analítica o datos biométricos). La retirada no afecta a la licitud del tratamiento previo a la retirada.

Para ejercer cualquiera de estos derechos, contacta con nosotros en [email protected]. Los firmantes que deseen ejercer sus derechos en relación con un proceso de firma concreto deben dirigirse al remitente del documento, dado que Certifirm actúa en ese contexto como Encargado del tratamiento. En todo caso, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD).

Seguridad

Certifirm aplica medidas técnicas y organizativas adecuadas para proteger tus datos personales frente a accesos no autorizados, pérdida accidental, destrucción o alteración. Entre estas medidas se encuentran el cifrado en tránsito (HTTPS/TLS), el cifrado en reposo de los documentos e informes, los controles de acceso por roles, el sellado criptográfico de los informes mediante sello de tiempo RFC 3161 emitido por Izenpe (TSA acreditada en la Trusted List europea), y las auditorías periódicas de seguridad.

Cookies

Para información detallada sobre las cookies que utilizamos, consulta nuestra Política de Cookies.

Modificaciones

Certifirm se reserva el derecho a actualizar esta política de privacidad. Las modificaciones sustanciales serán notificadas a los usuarios registrados por correo electrónico. La versión vigente estará siempre disponible en esta página.

Contacto

Si tienes alguna pregunta sobre esta política o sobre el tratamiento de tus datos personales, puedes contactarnos en:
[email protected]