Explicamos qué datos usa Cobriva, con qué rol y para qué.

1. Dos roles distintos

Cobriva como responsable: decide el tratamiento necesario para gestionar solicitudes comerciales, usuarios y seguridad de su propio servicio, facturación de la suscripción cuando se active, prevención de abuso, soporte y medición opcional.

Cobriva como encargado: cuando una empresa utiliza Cobriva con datos de sus propios clientes, pagadores, facturas, comunicaciones, pagos o documentos, esa empresa determina la finalidad del tratamiento y Cobriva procesa los datos por su cuenta conforme al Acuerdo de Encargo de Tratamiento.

2. Datos tratados como responsable

Solicitudes y contacto: nombre, email profesional, empresa, rol, tamaño de equipo, volumen aproximado, sistema principal, preferencia horaria, contexto de origen y necesidad descrita.

Cuenta y usuarios: nombre, email, empresa, pertenencia al workspace, rol, sesiones/dispositivos, aceptación de documentos legales, estado de prueba y datos operativos necesarios para autenticación y soporte.

Facturación de Cobriva: cuando esté habilitada, identificadores de cliente/suscripción, plan, periodicidad, estado de pago, importes y referencias del proveedor de pagos. Cobriva no necesita almacenar números completos de tarjeta.

Seguridad: registros de acceso, errores, eventos de integración y señales técnicas razonablemente necesarias para disponibilidad, prevención de abuso e investigación de incidentes. Para limitar intentos automatizados en autenticación y formularios públicos, los identificadores de destino y las señales de red utilizadas por el control se transforman mediante hash antes de persistirse; no se conserva la dirección de red en claro en ese almacén antiabuso.

3. Datos procesados por cuenta del cliente

Según las funciones utilizadas, Cobriva puede procesar nombres y datos profesionales de clientes/pagadores, NIF cuando figure en la fuente, email y teléfono, facturas y vencimientos, importes y estado de cobro, pedidos/notas de crédito, contactos, promesas, disputas, causas de bloqueo, tareas, comunicaciones relevantes, documentos, justificantes, movimientos bancarios asociados a conciliación y resultados derivados de esos datos.

El cliente debe introducir únicamente datos que pueda tratar legítimamente y evitar categorías especiales del artículo 9 RGPD o información no necesaria para la gestión de cobros salvo acuerdo y configuración específicos.

4. Finalidades y bases de los tratamientos propios

5. Demo, herramientas gratuitas, cookies y medición

La demo pública utiliza sessionStorage para respuestas ficticias y estado de navegación. La preferencia de medición se guarda en localStorage. Si aceptas medición, la capa first-party de Cobriva puede registrar página, sección, click, profundidad, tiempo aproximado, clase de dispositivo, referencia, entrada y UTM sin enviar contenido de formularios, emails ni datos financieros a esa analítica.

Las herramientas públicas gratuitas de Cobriva —incluidos el diagnóstico orientativo de VERI*FACTU y las calculadoras públicas— realizan sus selecciones y cálculos en el navegador. Cobriva no envía ni conserva las respuestas, importes o valores introducidos en esas herramientas. Si la medición opcional está aceptada, puede registrarse el uso agregado de la página o de sus controles, pero no los valores introducidos.

Global Privacy Control o Do Not Track desactivan la medición opcional. Puedes retirar o cambiar tu elección desde Preferencias de privacidad. Consulta Cookies y medición.

6. Integraciones de ERP, CSV y contabilidad

Una importación CSV o conexión de ERP puede incorporar clientes, contactos, facturas, pagos, pedidos, notas de crédito u otros datos estrictamente necesarios para las capacidades activadas. Cobriva utiliza esos datos para normalizar el estado de cobro, relacionar fuentes, detectar discrepancias y presentar acciones al cliente. Los datos pertenecen al workspace del cliente y no se reutilizan entre empresas.

7. Gmail y futuras integraciones de correo

Si el cliente conecta Gmail, Cobriva solicita https://www.googleapis.com/auth/gmail.readonly para consultar mensajes y configuración de correo. Solo cuando la capacidad de envío haya sido aprobada para el entorno y el usuario decida habilitarla puede solicitarse además https://www.googleapis.com/auth/gmail.send; ese permiso se limita al envío que el usuario prepare, revise y confirme. Cobriva no solicita permisos para borrar, archivar, marcar ni editar mensajes.

Cobriva filtra mensajes para detectar contexto de cobro y persiste únicamente información considerada relevante, como fragmentos redactados, identificadores, hashes y señales derivadas. Los tokens de acceso se almacenan cifrados y Cobriva elimina los tokens de acceso almacenados al desconectar la integración.

Los datos obtenidos mediante Google APIs no se venden ni se comparten con anunciantes, no se usan para publicidad y se limitan a la funcionalidad solicitada conforme a los requisitos de Limited Use de Google. Outlook/Microsoft 365 u otros conectores deberán documentarse antes de tratar datos productivos.

8. Open Banking y pagos

Cuando una integración bancaria real esté habilitada, Cobriva podrá procesar identificadores de conexión, IBAN enmascarado, fecha, importe, moneda, contraparte, referencia y señales de conciliación necesarias para verificar cobros. El proveedor regulado que proporcione acceso a cuentas deberá figurar en la lista de subencargados antes de la activación productiva.

La afirmación de un pagador de que ha realizado un pago no cambia por sí sola el saldo de una factura; la confirmación contable depende de una fuente bancaria o contable autorizada.

9. Payer Hub y datos de pagadores

Una empresa cliente puede enviar a su pagador un enlace seguro y temporal para comunicar fecha prevista, pago informado, disputa, necesidad de documentación, solicitud de fraccionamiento o corrección del contacto. La empresa que envía el enlace es responsable del tratamiento de esa información y Cobriva actúa como encargado tecnológico.

El pagador puede aportar texto, email de contacto correcto y, cuando esté habilitado, un justificante privado. Cobriva limita la información mostrada, aplica caducidad y controles de abuso y no permite modificar la factura desde ese enlace. Un justificante sirve como evidencia para verificación y no confirma el cobro por sí solo.

10. Inteligencia asistida y aprendizaje

Cobriva puede derivar clasificaciones, prioridades, causas, niveles de confianza y recomendaciones a partir de fuentes del workspace. Las interfaces deben distinguir evidencia e inferencia y mantener revisión humana donde corresponda. Los resultados de cobro verificados pueden utilizarse para mejorar recomendaciones dentro de la empresa correspondiente.

Cobriva no utiliza los Datos del Cliente para entrenar modelos compartidos entre clientes. Consulta IA y decisiones asistidas.

11. Conservación

Las solicitudes de demo/contacto se eliminan automáticamente al superar 12 meses en el entorno actual y los eventos de medición opcional al superar 13 meses. Las señales hash utilizadas exclusivamente para limitar abuso de autenticación y formularios públicos se conservan como máximo operativo durante 7 días. Las comunicaciones sincronizadas relevantes tienen una retención limitada configurada por el servicio y después se minimizan eliminando contenido y referencias identificativas conservadas para contexto.

Los Datos del Cliente se conservan mientras el workspace esté activo y según los plazos operativos configurados. La eliminación de una empresa elimina en cascada sus datos operativos principales; determinados registros de facturación, seguridad, litigios o cumplimiento pueden requerir revisión antes de su supresión cuando exista una obligación legal. Los documentos privados siguen además el ciclo de retención definido para el caso y las copias de seguridad el ciclo seguro del proveedor.

12. Proveedores y transferencias

La infraestructura utiliza Supabase y Vercel; Resend puede entregar emails transaccionales; Google interviene solo al conectar Gmail; Stripe interviene cuando la facturación de Cobriva esté activada. Consulta la lista actualizada de Subencargados.

Cuando exista una transferencia fuera del EEE se utilizará un mecanismo válido del capítulo V RGPD aplicable al proveedor y tratamiento concretos, y se mantendrá documentado internamente.

13. Derechos

Para datos respecto de los que Cobriva es responsable puedes solicitar acceso, rectificación, supresión, oposición, limitación o portabilidad cuando resulte aplicable, y retirar un consentimiento sin afectar al tratamiento previo. Puedes reclamar ante la Agencia Española de Protección de Datos.

Si tu solicitud se refiere a una factura, seguimiento o dato aportado por una empresa cliente, esa empresa es normalmente el responsable. Cobriva colaborará con ella como encargado para atender la solicitud.

14. Cambios

La fecha de versión aparece al inicio. Esta política debe actualizarse antes de un cambio material de finalidad, proveedor, integración, uso de IA, publicidad o contratación que modifique el tratamiento descrito.