Política de privacidad

Esta traducción se ofrece a título informativo. Si las versiones difieren, prevalece la versión en inglés.

Erys AI Ltd gestiona Klarbon y es responsable de los datos personales que se describen aquí. El visor del sitio funciona en tu dispositivo. Las herramientas de servidor no crean un archivo de documentos; el correo y los resultados cifrados en la pestaña tienen reglas propias. No se garantiza que el tratamiento se quede por completo en la UE. Conservamos los datos de cuenta, pago y seguridad como se indica abajo. Dudas: privacy@klarbon.app.

¿Quién es responsable de mis datos?

Erys AI Ltd, una sociedad privada de responsabilidad limitada inscrita en Inglaterra y Gales con el número 15781123, con domicilio social en Suite 12, Rivers Lodge, West Common, Harpenden, England, AL5 2JD. Contacto de privacidad: privacy@klarbon.app. Todos los datos de la empresa están en el aviso legal.

Nuestro representante en la Unión Europea según el artículo 27 del RGPD: Alexander Jay, establecido en los Países Bajos, eu-representative@klarbon.app. Tú y las autoridades de protección de datos de la UE podéis escribir al representante sobre cualquier cuestión de esta política, en lugar de a nosotros o además de a nosotros.

Cuando una empresa usa Klarbon para tratar facturas o extractos que contienen datos de otras personas, esa empresa es la responsable del tratamiento de esos documentos y Erys AI Ltd los trata por cuenta de ella, según el acuerdo de tratamiento de datos.

¿Qué pasa con mis documentos?

Abrir una factura electrónica en el visor del sitio, el widget o la extensión, imprimirla o guardarla como PDF se hace en tu dispositivo, sin subirla. La API y el MCP usan el servidor incluso para abrir una factura.

Comprobar, convertir, corregir, crear, convertir extractos bancarios y recibir facturas por correo envían archivos o datos introducidos a los servidores. La aplicación trata los datos del documento para la solicitud en curso, sin escribir un archivo de subidas, el texto extraído ni los campos del documento en su base de datos, registros o estadísticas. El espacio de trabajo temporal del motor está en memoria. Los archivos devueltos que descargas se quedan donde los guardas.

Leer un PDF sin datos de factura electrónica, o un escaneo, envía el texto o las imágenes de las páginas del documento a un modelo de IA que Cloudflare, nuestro proveedor de alojamiento, ejecuta en su propia red, con el acuerdo de tratamiento de datos que ya tenemos con Cloudflare. Cloudflare no conserva las entradas ni las salidas una vez entregada la respuesta y no las usa para entrenar modelos de IA. Este tratamiento puede producirse fuera de la UE. Klarbon no guarda nada del documento más allá de la solicitud, y no usamos los documentos enviados como ejemplos de entrenamiento. Lo que lee el modelo es un borrador: revisa los valores con el original antes de continuar.

Un resultado de pago ya preparado se devuelve cifrado con AES-256-GCM. Si sales para iniciar sesión o pagar, en el sessionStorage de esta pestaña solo pueden quedar el contenido cifrado, la herramienta, el coste en créditos, un formato de exportación opcional y la caducidad en el servidor, nunca un nombre de archivo ni datos del documento sin cifrar. La clave de descifrado se queda en el servidor. El resultado caduca normalmente 30 minutos después de prepararse. Reanudar o abandonar borra la entrada guardada; las entradas caducadas se eliminan al cargar la página o con un temporizador de la página activa. Un navegador en suspensión puede retrasar el borrado local.

No envíes facturas ni extractos bancarios a soporte. Describe el problema y te pediremos solo lo necesario.

¿Qué guardáis sobre mi cuenta?

El inicio de sesión funciona con un código de un solo uso enviado a tu correo. Guardamos el código solo como hash con clave, válido 10 minutos, junto con un hash con clave de tu dirección y del dispositivo que lo pide, para limitar los intentos. La limpieza diaria borra estos datos cuando el código ha caducado y la ventana horaria de intentos se ha cerrado, y elimina el contador de envíos de una dirección al terminar su día UTC. Una sesión iniciada se guarda como hash y termina 30 días después de su último uso. Al iniciar sesión también recordamos durante 90 días hashes con clave del bloque de red y del dispositivo desde el que entraste, para que tus propias solicitudes de inicio de sesión nunca se frenen por límites pensados para otros. Base jurídica: el contrato y nuestro interés legítimo en proteger las cuentas (art. 6.1.f).

Envío de facturas por correo. Cuando envías una factura por correo, Klarbon trata la dirección del destinatario y la factura por tu cuenta, como tu encargado del tratamiento, para enviar ese único correo; se aplica el acuerdo de tratamiento de datos. La factura se usa solo para la solicitud y no se conserva. Si un destinatario usa el enlace de uno de esos correos para dejar de aceptar facturas enviadas a través de Klarbon, guardamos un hash con clave de su dirección y la fecha, nunca la dirección en sí, para poder rechazar nuevas facturas dirigidas a ella. Base jurídica: nuestro interés legítimo, y el del destinatario, en respetar esa petición (art. 6.1.f). Conservación: hasta que el titular de esa dirección pida, en la misma página, volver a aceptar facturas.

Eliminar tu cuenta desde la página de la cuenta cancela al instante cualquier suscripción, quita tus tarjetas guardadas y tu nombre, correo y teléfono de la ficha de cliente de nuestra cuenta de Stripe, borra tus sesiones, datos de inicio de sesión, contadores de uso, claves API, ajustes de recarga automática, recomendaciones, puestos e invitaciones, y sustituye tu dirección de correo por un valor sin significado. Los códigos que usaste se quedan solo como recuentos, sin tu cuenta ni tu dirección de correo. Los datos de pago se quedan bajo una referencia de cuenta, como se explica abajo. Son seudónimos, no necesariamente anónimos: una referencia de pago todavía puede relacionarse con un registro que Stripe conserva por ley. Los datos de contacto de los desistimientos se conservan aparte durante el plazo indicado abajo. Tu cuenta de Link y los datos de pedido que Link conserva como vendedor no se eliminan con tu cuenta de Klarbon: pide a Link que los elimine, como explica Link. Eliminar tu cuenta de Link también cancela cualquier suscripción vendida a través de Link.

¿Qué guardáis sobre los pagos?

Las compras se venden a través de Link, el servicio de comerciante registrado (merchant of record) de Stripe: Sold through Link, LLC, filial de Stripe, es el vendedor de cada compra. En sus propias páginas de pago, Link recoge tus datos de pago, tu dirección de facturación y el NIF-IVA que pueda pedir, cobra el pago y el IVA, y envía el recibo, la factura y los avisos de reembolso. Conserva los registros de pedidos, impuestos, reembolsos y disputas y responde a las dudas sobre pagos y suscripciones a través del soporte de Link. Stripe, incluida Link, decide cómo usa esos datos para estos fines, para prevenir el fraude y para sus obligaciones legales, y es responsable del tratamiento por derecho propio, según la política de privacidad de Link y la política de privacidad de Stripe. Para una suscripción, Link exige una cuenta de Link. Nunca vemos el número completo de una tarjeta.

Link nos comunica el pedido para que podamos prestarlo: tus datos de contacto, tu dirección de facturación, un posible NIF-IVA y los detalles del pedido, y después cualquier reembolso o disputa. Solo guardamos lo que indica la tabla de abajo, y solo durante los plazos que da.

La ley del Reino Unido obliga a una sociedad a conservar su contabilidad durante seis años desde el cierre del ejercicio al que corresponde (GOV.UK), y una acción basada en un contrato puede ejercitarse durante seis años (Limitation Act 1980, section 5). Contamos el plazo en años naturales: un registro se conserva siete años naturales completos después del año al que pertenece. Un saldo o una disputa que sigan abiertos se conservan hasta resolverse y después siete años naturales completos tras ese año. La tarea diaria de caducidad elimina el historial financiero detallado de una cuenta liquidada solo cuando todos sus saldos de créditos y de API están a cero, no hay ninguna suscripción ni disputa abierta y su última operación financiera queda fuera de ese plazo. Así no borramos una asignación que todavía respalda un saldo sin caducidad. También elimina los datos de contacto caducados de desistimientos cerrados. Las referencias de los avisos de pago se eliminan tras el plazo de la operación, aunque una cuenta abierta siga necesitando su historial de compras y créditos. Pueden quedar totales de facturación sin identificadores de cuenta o de pago. Estas obligaciones pueden exigir que los registros se conserven tras eliminar la cuenta.

¿Y las claves API?

Base jurídica: el contrato y nuestro interés legítimo en impedir accesos no autorizados. Una clave API se te muestra una sola vez. Guardamos un hash con clave de ella, sus primeros caracteres para que la reconozcas, el nombre que le diste, cuándo se creó y cuándo se usó por última vez, hasta que la revoques o elimines la cuenta. Las solicitudes repetidas con la misma clave de idempotencia se reconocen durante 24 horas por un hash con clave de esa clave y un resumen de la solicitud, nunca por el documento. Las entradas caducadas se purgan en la limpieza diaria, cuando se usa otra clave o al eliminar la cuenta. Los datos de límite de frecuencia contienen identificadores seudónimos y contadores, no documentos; los inactivos caducan a los 90 días y se eliminan en la limpieza diaria o al eliminar la cuenta.

¿Y las facturas por correo?

La recepción por correo trata el mensaje y sus adjuntos para la respuesta pedida, según el contrato de servicio o las instrucciones de tratamiento del cliente profesional. La aplicación no archiva el mensaje. Las vistas previas de los mensajes enviados están desactivadas para mail.klarbon.app, comprobado el 5 de noviembre de 2026 a las 21:52 UTC. La entrega sigue pasando por la cola del servicio de correo, y el buzón de destino guarda sus propias copias. No podemos prometer un tratamiento SMTP solo en la UE ni el borrado inmediato de las colas de entrega. No uses la recepción por correo si esas copias no son adecuadas para tus datos. Contamos los mensajes por cuenta y día para aplicar el límite.

Los correos del servicio, incluidos códigos, confirmaciones de compra y desistimientos, contienen la dirección y la información necesaria para ese mensaje. Nuestro proveedor de envío de correo los recibe para entregarlos, con un contrato. Los códigos caducan a los diez minutos; los datos de pagos y desistimientos siguen la conservación descrita arriba. Los metadatos de entrega son independientes de los registros de la aplicación.

¿Y si contacto con soporte?

Los buzones de soporte, facturación, privacidad y seguridad reciben la dirección, el mensaje y lo que envíes. Lo usamos para responderte, resolver una cuestión del contrato o cumplir una obligación legal: según el caso, el contrato, nuestro interés legítimo en atender consultas o una obligación legal. El acceso se limita a la gestión de Klarbon y al proveedor de correo contratado. Las conversaciones de soporte resueltas se eliminan 24 meses después de resolverse, salvo que una disputa, una obligación regulatoria o una reclamación exija conservarlas. Los justificantes financieros y de desistimiento siguen el plazo más largo indicado arriba. No envíes facturas ni extractos bancarios a soporte.

¿Qué se registra por seguridad?

Los diagnósticos de nuestra aplicación indican pasos técnicos, estados, categorías de error y, si hace falta, referencias de pago o de desistimiento, nunca el contenido de documentos, nombres de archivo, el cuerpo de los correos ni códigos de acceso. Los registros de invocación y las trazas del Worker están desactivados; los registros estructurados intencionados de la aplicación siguen activos. Los servicios de alojamiento y de envío de correo pueden tratar por separado metadatos de red y de solicitudes, incluidas direcciones IP. Los registros del Worker guardados se conservan como máximo siete días. Base jurídica: nuestro interés legítimo en proteger un servicio seguro y operativo (art. 6.1.f).

Para aplicar límites diarios sin cuenta, contamos las solicitudes según un hash con clave del bloque de red al que pertenece tu dirección IP, nunca según la dirección en sí. La limpieza diaria elimina estos contadores, y los de cada cuenta, tras su plazo de conservación de 90 días.

Turnstile. El inicio de sesión, mostrar el número de teléfono en las páginas legales, el formulario de recordatorios de plazos y algunas herramientas de servidor incluyen una breve comprobación de Cloudflare Turnstile de que eres una persona. Trata señales como tu dirección IP, tu navegador y tu conexión para distinguir a las personas del tráfico automatizado. Cloudflare lo hace por nuestra cuenta y también usa esas señales como responsable independiente para mejorar Turnstile, como explica su anexo de privacidad de Turnstile. Base jurídica: nuestro interés legítimo en proteger el servicio frente a abusos.

¿Usáis estadísticas o cookies?

Contamos pasos del producto, como "se inició una comprobación" o "se descargó una conversión". Cada evento registra solo su nombre, el tipo de página, la herramienta, el paso, el formato, un código de error, el idioma de la página y, cuando corresponde, una categoría general: de dónde llegó la visita (por ejemplo, de un buscador o de un asistente de IA), cómo se compartió algo (por ejemplo, por correo electrónico o con un enlace copiado) o qué finalidades de cookies aceptaste. No contiene identificadores, direcciones IP, cookies ni nada de tu documento, y se conserva tres meses. Las páginas vistas y los tiempos de carga también pueden medirse con Cloudflare Web Analytics, que no instala cookies ni te identifica ni te sigue entre sitios. Base jurídica de ambos: nuestro interés legítimo en saber qué páginas y herramientas funcionan (art. 6.1.f).

Los anuncios de Klarbon. Si llegas a una página haciendo clic en uno de nuestros anuncios, Google Ads añade a la dirección de la página el número de campaña, el número del grupo de anuncios y la palabra clave por la que pujamos. Esa palabra clave es nuestra, no lo que buscaste. Mientras sigas en esa página, los eventos descritos arriba llevan también esos tres valores y, si compras desde esa página, se añaden a la compra en nuestra cuenta de Stripe, para saber qué anuncios generan compras. Nada de esto se guarda en tu dispositivo y no leemos ningún identificador de clic. Base jurídica: nuestro interés legítimo en saber qué anuncios valen lo que cuestan (art. 6.1.f). Conservación: tres meses con los eventos y, con una compra, mientras se conserve el registro de esa compra según la tabla de arriba.

Google Analytics, solo si lo aceptas. En tu primera visita, un aviso pregunta si podemos usar Google Analytics. Hasta que aceptes, no se carga nada de Google. Si aceptas, Google Analytics instala las cookies de la lista de abajo y recibe la dirección de cada página sin su consulta ni su fragmento (solo se conservan parámetros de campaña como utm_source), el título de la página, el sitio desde el que llegaste, tu navegador, dispositivo y pantalla, una ubicación aproximada deducida de tu dirección IP y los pasos del producto descritos arriba con los mismos campos. No recibe nada de tus archivos, nada de lo que escribes en un formulario ni datos de tu cuenta. Google Signals está desactivado, y la personalización de anuncios sigue desactivada salvo que elijas también Publicidad, más abajo. Google Ireland Limited trata estos datos por nuestra cuenta; Google puede transferirlos a Google LLC en Estados Unidos, certificada en el EU-US Data Privacy Framework y su extensión al Reino Unido. Google Analytics conserva los datos 14 meses. Base jurídica: tu consentimiento (art. 6.1.a y art. 5.3 de la Directiva sobre la privacidad y las comunicaciones electrónicas). Puedes retirarlo cuando quieras con Configuración de cookies al pie de cada página: entonces paramos la etiqueta y borramos sus cookies. Si tu navegador envía una señal Global Privacy Control, la tratamos como un rechazo y no preguntamos.

Audiencias publicitarias, solo si las eliges. La opción Elegir del aviso muestra dos interruptores, Análisis y Publicidad, ambos desactivados hasta que los actives. Aceptar activa solo Análisis. Publicidad solo funciona con Análisis activado, porque las audiencias se crean a partir de los datos de estadísticas descritos arriba. Si la activas, Google Analytics comparte tus visitas con la cuenta de Google Ads de Klarbon, Google Ads instala las cookies de la lista de abajo y Google puede añadir tu navegador a audiencias de Klarbon, como la de quienes han usado una herramienta, para poder mostrarte anuncios de Klarbon en Google y en otros sitios. No enviamos a Google ninguna dirección de correo electrónico, nada de lo que escribes en un formulario, ningún dato de tu cuenta ni nada de tus archivos, y no subimos listas de clientes. Para la publicidad, Google Ireland Limited actúa como responsable independiente y usa los datos como explica en cómo usa Google las cookies en la publicidad, con las mismas transferencias a Google LLC descritas arriba. Google mantiene un navegador en una audiencia durante el periodo de pertenencia que fijamos para esa audiencia, como máximo 540 días. Base jurídica: tu consentimiento (art. 6.1.a y art. 5.3 de la Directiva sobre la privacidad y las comunicaciones electrónicas). Puedes retirarlo cuando quieras con Configuración de cookies, desactivando Publicidad o Análisis: entonces indicamos a la etiqueta que no hay consentimiento para ninguna finalidad publicitaria y borramos las cookies de Google Ads en klarbon.app. Las cookies que Google mantiene en sus propios dominios se rigen por tus elecciones en Mi Centro de anuncios. No usamos otros scripts de publicidad, retargeting ni redes sociales.

¿Qué se guarda en mi navegador?

Las cookies de estadísticas solo se instalan después de que las aceptes en el aviso, y las cookies de Google Ads solo si eliges también Publicidad. El resto del almacenamiento de abajo da servicio a funciones que usas; la cookie de recomendación también atribuye una compra a una recomendación.

La extensión del navegador solo guarda tu ajuste de idioma en el almacenamiento de extensiones del navegador. Las páginas de pago de Link y la comprobación de Turnstile funcionan en los dominios de sus proveedores y siguen sus propias políticas.

¿Me enviaréis ofertas?

Los correos del servicio, como los códigos de acceso, las confirmaciones de compra, los avisos de renovación y las respuestas a las facturas por correo, forman parte del servicio. Cuando tu compra nos da una dirección, también puedes recibir de vez en cuando una oferta sobre las suscripciones de Klarbon, por ejemplo una suscripción anual si pagas cada mes. Puedes rechazarlas al crear la cuenta o al comprar, y cada correo de oferta incluye un enlace que las detiene al momento. Base jurídica: nuestro interés legítimo en informar a los clientes sobre servicios similares (art. 6.1.f), como permiten las normas sobre comunicaciones por correo a clientes existentes (art. 13.2). Nunca cedemos tu dirección para el marketing de otros.

¿Qué ocurre con los recordatorios de plazos?

En las guías por país, en la página de países y debajo del resultado de abrir, comprobar o convertir una factura, puedes solicitar que te enviemos correos antes de las fechas de facturación electrónica que te correspondan. Conservamos tu dirección de correo electrónico, el país, la fecha que te corresponde en el caso de Alemania, tu idioma, la página desde la que te suscribiste y la versión del texto del formulario que utilizaste, cuándo te suscribiste, cuándo enviamos la confirmación y cuándo confirmaste, y qué recordatorios hemos enviado. La lista nunca se vincula a una cuenta, una compra ni un archivo.

Primero enviamos un correo con un enlace de confirmación, y nada más hasta que abras el enlace. Una entrada que no se confirme en el plazo de 7 días se elimina en la limpieza diaria. Cuando confirmas, enviamos un correo 30 días antes y otro 7 días antes de cada fecha que te corresponde, y nada más. Todos los correos incluyen un enlace que te da de baja con un clic y borra la entrada y su registro de recordatorios enviados. Base jurídica: tu consentimiento (art. 6.1.a), que puedes retirar con ese enlace. Conservación: hasta que te des de baja o haya pasado la última fecha que te corresponde, lo que ocurra primero. Nuestro proveedor de envío de correo electrónico recibe tu dirección y el mensaje para su entrega, en virtud de un contrato.

¿Quién recibe mis datos?

Usamos estas categorías de destinatarios para los fines indicados arriba. Los encargados actúan con un contrato; Stripe y Link, como vendedor de cada compra, y Turnstile tienen además los fines propios de responsable descritos arriba:

Klarbon usa la red global de Cloudflare, así que el descifrado TLS y la gestión de solicitudes pueden producirse fuera de la UE. La ubicación del Worker cerca de Fráncfort es una preferencia sin garantía, no una promesa de tratamiento solo en la UE, y no se aplica al correo ni a las tareas programadas. El cálculo del motor está limitado a la UE por la configuración de los contenedores. Las bases de datos D1 de cuentas están bajo jurisdicción de la UE. Ninguno de estos ajustes regionaliza la red, la lectura con IA de PDF y escaneos, la entrega de correo, las estadísticas, el tratamiento de pagos ni el soporte. Son límites distintos, no una promesa de tratamiento de principio a fin en la UE. Para las transferencias internacionales restringidas usamos la decisión de adecuación aplicable o garantías contractuales adecuadas, como las cláusulas tipo de protección de datos y, cuando hace falta, el anexo del Reino Unido. Pregunta a privacy@klarbon.app por el destinatario concreto, los lugares de acceso y una copia de las garantías. Un lugar de cálculo no es por sí mismo un mecanismo de transferencia.

Los clientes profesionales pueden obtener la lista nominal de subencargados según el acuerdo de tratamiento de datos. No vendemos datos personales y solo los comunicamos a las autoridades cuando la ley lo exige.

¿Qué derechos tengo?

Puedes pedir una copia de tus datos, su rectificación, su supresión, la limitación de su tratamiento o una copia en un formato portable, y puedes oponerte al tratamiento basado en nuestro interés legítimo. Cuando nos basamos en tu consentimiento, como con las cookies de estadísticas y de publicidad y con los recordatorios de plazos, puedes retirarlo cuando quieras, con Configuración de cookies al pie de cada página o con el enlace de baja de cada recordatorio, sin que afecte a lo tratado antes. Escribe a privacy@klarbon.app desde la dirección de tu cuenta, o indica de qué cuenta se trata; respondemos en el plazo de un mes, que la ley permite ampliar otros dos meses en solicitudes complejas, y te avisamos si lo hacemos. Nunca te pedimos que envíes un documento para demostrar quién eres. Algunos datos de pago deben conservarse durante el plazo indicado arriba aunque pidas su supresión. Para los datos que Link tiene como vendedor, dirígete a Link, según su política de privacidad. Klarbon no toma sobre ti ninguna decisión basada únicamente en un tratamiento automatizado que produzca efectos jurídicos o te afecte de forma similar de manera significativa.

¿Cómo presento una reclamación?

Escribe primero a privacy@klarbon.app e intentaremos solucionarlo. También puedes reclamar ante la Information Commissioner's Office del Reino Unido, en ico.org.uk/make-a-complaint, o, si vives o trabajas en la UE o el problema ocurrió allí, ante la autoridad de protección de datos de ese país, como la Agencia Española de Protección de Datos. El Comité Europeo de Protección de Datos las enumera.

¿Cómo sabré de los cambios?

Esta política indica su versión y la fecha en que entra en vigor. Cuando cambiamos lo que recogemos o por qué, actualizamos esta política antes de que el cambio se aplique y avisamos por correo a los titulares de cuenta afectados.