Política de privacidad

En una página

Somos IRUKA DIGITAL sp. z o.o., una sociedad polaca. Construimos y operamos nuestras propias aplicaciones — InvoiceMatch (en Polonia, RozliczTo), e-Sprawozdanie, AduanaLink y CarPanel — y las vendemos nosotros mismos, cobrando a través de Tpay.

Tres cosas que conviene saber antes del detalle:

1. Actuamos con dos sombreros distintos. Respecto de nuestros sitios, tu cuenta y tus facturas somos responsables del tratamiento: decidimos qué pasa y respondemos por ello. Respecto de los documentos que subes dentro de las aplicaciones somos solo encargados del tratamiento: decides tú, y nosotros actuamos según tus instrucciones al amparo del acuerdo de tratamiento de datos.
2. No vendemos datos personales y no usamos rastreadores publicitarios. No hay red de publicidad, ni broker de datos, ni píxel publicitario en nuestros sitios. La única herramienta de medición que usamos — Google Analytics en el sitio de marketing — no se carga en absoluto si no aceptas. Consulta la política de cookies.
3. Puedes obligarnos a actuar. Acceso, rectificación, supresión, portabilidad, oposición — artículos 15 a 22 del RGPD — y reclamación ante la autoridad de control polaca si lo hacemos mal. El apartado 9 explica cómo.

1. Quién es el responsable del tratamiento

El responsable del tratamiento es la sociedad identificada al inicio de esta página: IRUKA DIGITAL sp. z o.o., ul. Szczęsna 26, 02-454 Varsovia, Polonia, KRS 0000980870, NIP 5223230254.

Escribe a [email protected] para cualquier asunto de esta política. Llega a una persona, no a una cola.

No hemos designado delegado de protección de datos. No concurre ninguna de las condiciones del artículo 37.1 del RGPD: no somos autoridad pública y ni la observación a gran escala ni el tratamiento a gran escala de categorías especiales constituyen nuestra actividad principal. Los asuntos de protección de datos los atiende el órgano de administración, en la dirección anterior.

2. Qué cubre esta política

Cubre los datos personales que tratamos como responsables cuando:

• visitas irukadigital.com o el sitio de un producto — invoicematch.app (rozliczto.app en Polonia), e-sprawozdanie.com, aduanalink.com, carpanel.app;
• creas una cuenta, inicias una prueba o te suscribes a uno de esos productos;
• nos pagas o nos pides una factura;
• nos escribes — soporte, ventas, una solicitud legal, una consulta de empleo;
• recibes un mensaje nuestro porque creemos que nuestro producto resuelve un problema de tu empresa.

No cubre lo que pones dentro de las aplicaciones. Si subes facturas, extractos bancarios, declaraciones aduaneras o registros de clientes, las personas que figuran en esos documentos son tus interesados y tú eres su responsable. Ese material lo tratamos estrictamente según tus instrucciones; las condiciones están en el acuerdo de tratamiento de datos, junto con las medidas de seguridad y la lista de subencargados.

3. Responsable o encargado: por qué la distinción te importa

	Responsable (nosotros)	Encargado (nosotros, según tus instrucciones)
Datos típicos	Tu nombre, correo profesional, empresa y NIF, registros de acceso y sesión, historial de suscripción y pagos, correspondencia de soporte, registros del servidor	Facturas, extractos bancarios, balances de comprobación, declaraciones aduaneras, registros de vehículos y clientes: lo que subas o conectes
Quién decide la finalidad	Nosotros	Tú
Documento que lo rige	Esta política	El acuerdo de tratamiento
Quién responde al interesado	Nosotros	Tú; nosotros te ayudamos dentro del plazo

Si una persona que figura en un documento que subiste nos pide a nosotros que suprimamos sus datos, no podemos decidirlo por nuestra cuenta. Le indicaremos que se dirija a ti y te avisaremos de que la solicitud llegó.

4. Qué tratamos, para qué y con qué base jurídica

Cada punto es una actividad de tratamiento distinta con su propia base jurídica, como exige el artículo 13.1.c del RGPD. Cuando la base es un interés legítimo indicamos cuál es; puedes oponerte a cualquiera de ellos conforme al artículo 21.

4.1 Gestionar tu cuenta y prestar el servicio

Datos: nombre, correo profesional, hash de la contraseña (o el identificador de tu proveedor de acceso), razón social, dirección y NIF, cargo, producto y plan, configuración, marcas de tiempo de acceso e IP, eventos de uso.

Finalidad: crear la cuenta, aprovisionar el producto, mantenerlo disponible, aplicar los límites del plan y mostrarte tu propio historial.

Base: artículo 6.1.b del RGPD — ejecución del contrato que celebras al aceptar los términos del servicio. Si el cliente es una empresa, los datos de sus usuarios se tratan conforme al artículo 6.1.f: nuestro interés legítimo en prestar el servicio que la empresa contrató.

Conservación: mientras exista la cuenta, y después 30 días para que aún puedas exportar (véase el apartado 8).

4.2 Pagos y facturación

Datos: nombre y dirección de facturación, NIF o número de IVA, productos e importes, moneda, identificadores de transacción y pedido, tipo de medio de pago, estado del pago, devoluciones y contracargos, números de factura.

No recibimos ni almacenamos el número de tu tarjeta. Los datos de tarjeta y las credenciales bancarias se introducen en el entorno de Tpay y nunca se nos exponen. Lo que nos vuelve es un estado y un token: suficiente para saber que el pago se realizó, insuficiente para cargar una tarjeta por nuestra cuenta.

Finalidad: cobrar, emitir la factura, mantener nuestros registros fiscales y contables, gestionar devoluciones y ejercer o defender una reclamación si llega el caso.

Base: artículo 6.1.b para cobrar; artículo 6.1.c para la factura y los registros, porque la Ley del IVA, la Ley de Contabilidad y la Ordenanza Tributaria polacas no nos dejan opción; artículo 6.1.f para la prevención del fraude y la defensa de reclamaciones.

Conservación: los documentos contables y fiscales, 5 años contados desde el final del año natural en que venció el plazo de pago del impuesto (art. 86 § 1 de la Ordenanza Tributaria, art. 74 de la Ley de Contabilidad). Este plazo no se acorta por una solicitud de supresión — véase el apartado 9.

Más sobre Tpay — apartado 5.

4.3 Las funciones de IA

Varios productos usan un modelo de lenguaje: InvoiceMatch explica por qué una factura y un movimiento bancario encajan, e-Sprawozdanie revisa una presentación frente a la Ley de Contabilidad, AduanaLink contrasta una factura comercial con su declaración.

Datos: el contenido que envías a esa función, más la instrucción y la salida del modelo. Puede contener datos personales si tus documentos los contienen.

Finalidad: producir el resultado que pediste.

Base: artículo 6.1.b cuando eres el cliente; cuando el contenido es tuyo como responsable, actuamos como encargados conforme al acuerdo de tratamiento y tu instrucción es la base.

Cómo está limitado:

• El proveedor del modelo actúa como nuestro subencargado, en condiciones contractuales que prohíben usar tus entradas o salidas para entrenar sus modelos.
• El modelo no decide nada sobre ti por sí solo. Cada salida es una sugerencia que una persona acepta o rechaza. Es deliberado: mantiene la función fuera del artículo 22 del RGPD (véase el apartado 10).
• Cuando interactúas directamente con una función de IA, te lo indicamos en la interfaz, como exige el artículo 50 del Reglamento (UE) 2024/1689 (Reglamento de IA) desde el 2 de agosto de 2026.

Puedes pedirnos que no ejecutemos funciones de IA sobre tus datos; en algunos productos eso significa que la función queda no disponible en lugar de degradada, y lo diremos con claridad.

4.4 Soporte y correspondencia

Datos: tu mensaje y nuestra respuesta, tu dirección de correo y los adjuntos, y la cuenta a la que se refiere.

Finalidad: responderte, reproducir y corregir un problema y conservar constancia de lo acordado.

Base: artículo 6.1.b si eres cliente; en otro caso artículo 6.1.f — nuestro interés legítimo en responder a quien nos escribe y en tener constancia de ello.

Conservación: 3 años desde el cierre del asunto, que es el plazo general de prescripción de las reclamaciones vinculadas a la actividad empresarial conforme al art. 118 del Código Civil polaco.

4.5 Seguridad, abuso y disponibilidad

Datos: dirección IP, agente de usuario, registros de peticiones y errores, intentos de autenticación, señales de límite de tasa y abuso.

Finalidad: mantener el servicio en pie, investigar un incidente, detener el relleno de credenciales y el scraping, y probar lo ocurrido si se discute.

Base: artículo 6.1.f — nuestro interés legítimo, y el tuyo, en un servicio en el que nadie entra por la fuerza. El considerando 49 del RGPD lo reconoce expresamente como interés legítimo.

Conservación: 12 meses; más solo para un registro concreto conservado como prueba de un incidente.

4.6 Desarrollo comercial: cómo pudimos obtener tu dirección

Si te contactamos y nunca nos diste tus datos, este apartado es tu información del artículo 14.

Datos: nombre, cargo, empleador, correo profesional, teléfono profesional, identificadores públicos de la sociedad (KRS, NIF) y la fuente pública de la que los tomamos.

Fuente: registros públicos y directorios públicos de empresas, el sitio web de tu empleador, perfiles profesionales públicos, o una lista de contactos profesionales que compilamos o adquirimos. Si lo pides, te diremos exactamente cuál.

Finalidad: contactar a tu organización sobre un producto que creemos encaja con un problema que tiene.

Base: artículo 6.1.f — nuestro interés legítimo en el marketing directo entre empresas, reconocido expresamente en el considerando 47 del RGPD. Lo hacemos solo con datos de contacto profesionales, nunca con direcciones privadas y nunca para finalidades sensibles.

Conservación: 12 meses desde el último contacto, o supresión inmediata (salvo un registro de exclusión) si te opones.

Tus controles: opónte conforme al artículo 21.2 y paramos: sin ponderación, sin discusión, sin “¿estás seguro?”. Basta una línea a [email protected]. Además, el derecho polaco (art. 398 de la Ley de Comunicaciones Electrónicas) exige tu consentimiento previo para enviarte comunicaciones comerciales electrónicas, y tratamos la oposición como referida a ambas cosas.

4.7 El sitio de marketing y sus estadísticas

Visitar irukadigital.com pone tu dirección IP y las cabeceras de la petición ante nuestro proveedor de alojamiento. Es inevitable en cualquier sitio web y se apoya en el artículo 6.1.f: no podemos servirte una página sin recibir una petición.

Analítica. El sitio de marketing puede medir qué páginas se leen, con Google Analytics 4. Está desactivado por defecto y así sigue:

• Datos: un identificador de dispositivo generado aleatoriamente y guardado en una cookie, páginas vistas, referente, ubicación aproximada derivada de una IP truncada, tipo de dispositivo y navegador.
• Base: artículo 6.1.a — tu consentimiento, obtenido mediante el banner antes de que se cargue nada. Conforme al art. 399 de la Ley polaca de Comunicaciones Electrónicas el consentimiento debe ser previo, por lo que la etiqueta de analítica no está presente en la página hasta que la aceptas. Rechazar es un clic en un botón del mismo tamaño que el de aceptar, y el sitio funciona igual en ambos casos.
• Retirada: la política de cookies tiene un botón que reabre la elección. La retirada detiene la recogida futura.
• No en los productos. La analítica funciona solo en el sitio de marketing. No hay etiqueta de analítica dentro de InvoiceMatch/RozliczTo, e-Sprawozdanie, AduanaLink ni CarPanel, así que tus documentos de trabajo nunca están en su alcance.
• Conservación: por nuestra parte, ninguna — vemos informes agregados. Por parte de Google, según su ajuste de retención, no más de 14 meses.

Google actúa como nuestro encargado en esto y los datos pueden llegar a Estados Unidos; véase el apartado 7. Hemos desactivado las señales de Google y las funciones publicitarias, de modo que la medición no alimenta perfiles de publicidad.

Tipografía. La tipografía se sirve desde nuestro propio dominio. Cargarla desde un servicio externo expondría tu dirección IP a ese servicio en cada visita, así que no lo hacemos.

5. Pagos a través de Tpay

Todos nuestros productos cobran a través de Tpay, el sistema de pago operado por Krajowy Integrator Płatności S.A., plac Władysława Andersa 3, 61-894 Poznań, KRS 0000412357, NIP 7773061579, REGON 300878437 — una entidad de pago nacional polaca supervisada por la Comisión de Supervisión Financiera (KNF), inscrita en el registro de servicios de pago con el número IP27/2014 y con estatus de entidad adquirente. Tpay tiene su propio delegado de protección de datos, en [email protected].

Dos puntos que la mayoría de las políticas de privacidad expresan mal y que importan para tus derechos:

Tpay no es nuestro encargado. Para ejecutar y liquidar tu pago, y para cumplir sus propias obligaciones en materia de servicios de pago, prevención del blanqueo, contabilidad y normas de los esquemas de tarjetas, Tpay decide las finalidades por sí misma y es un responsable independiente. No podemos instruirla en ese tratamiento ni responder por él. Tpay publica su propia información de privacidad y tienes frente a ella todos los derechos del RGPD directamente, además de los que tienes frente a nosotros.

El vendedor somos nosotros. Tpay cobra el dinero; el contrato es con nosotros. Eso significa que la factura, el IVA, la devolución y la reclamación nos corresponden — véanse los términos del servicio.

Lo que pasa entre Tpay y nosotros: el identificador del pedido, el importe y la moneda, el tipo de medio de pago, tu nombre y correo de facturación, el estado del pago y —cuando un pago se disputa o parece fraudulento— la información necesaria para resolverlo. Los números de tarjeta y las credenciales bancarias van a Tpay, no a nosotros.

6. Quién más recibe datos personales

Mantenemos corta la lista de proveedores a propósito y la publicamos íntegra. El registro completo y actual — qué hace cada proveedor, dónde está y si es nuestro encargado o un responsable por derecho propio — está en subencargados y otros destinatarios.

Más allá de ese registro, los datos personales pueden ir a:

• nuestro asesor contable y fiscal y nuestro banco, para la contabilidad legal y la liquidación;
• Google, como nuestro encargado para las estadísticas del sitio, pero solo si diste tu consentimiento;
• abogados, auditores, empresas de recobro o aseguradoras, cuando necesitemos formular, ejercer o defender una reclamación;
• autoridades públicas — la administración tributaria, KSeF, un tribunal, la policía, la autoridad de protección de datos — cuando una norma nos obligue a entregar algo. No tratamos una solicitud informal como una obligación y comprobamos la base jurídica antes de responder;
• un adquirente o sucesor, si el negocio o un producto se vende o reorganiza, caso en el que te lo diremos antes de que tus datos cambien de manos.

No vendemos datos personales. No los compartimos para la publicidad de nadie.

7. Transferencias fuera del EEE

Algunos de nuestros proveedores están establecidos en Estados Unidos, o transfieren allí: Cloudflare, Supabase, Anthropic, Resend y —si aceptaste la analítica— Google. Usarlos implica que los datos personales pueden transferirse a un tercer país o consultarse desde él.

El instrumento de transferencia en el que nos apoyamos es el artículo 46.2.c del RGPD: las cláusulas contractuales tipo de la Comisión Europea, suscritas como parte del acuerdo de tratamiento de cada proveedor, junto con una evaluación de impacto de la transferencia y las medidas técnicas del anexo 2 del acuerdo (cifrado en tránsito y en reposo, control de acceso, minimización). Cuando un proveedor está además certificado en el Marco de Privacidad de Datos UE–EE. UU., esa decisión se aplica de forma complementaria; no nos apoyamos solo en ella.

AduanaLink y CarPanel atienden a clientes en Colombia y en otros países de América Latina. Colombia no está amparada por una decisión de adecuación de la Comisión Europea. Cuando nuestro soporte o los propios usuarios de un cliente acceden a los datos desde fuera del EEE, ese acceso es también una transferencia y queda cubierto por las cláusulas contractuales tipo de nuestro contrato con el cliente. Los usuarios en Colombia tienen además los derechos que les confiere la Ley 1581 de 2012; nada en esta política los limita.

Puedes pedirnos copia de las cláusulas en las que nos apoyamos para un proveedor concreto. Escribe a [email protected] y te enviaremos la que corresponda.

Dónde está realmente la base de datos de cada producto. Preferimos darte la región antes que una garantía vaga:

Producto	Región de la base de datos
InvoiceMatch / RozliczTo	Estocolmo, Suecia (UE)
e-Sprawozdanie	París, Francia (UE)
AduanaLink	Londres, Reino Unido — un tercer país amparado por la decisión de adecuación de la Comisión de 19 de diciembre de 2025, por lo que no hacen falta cláusulas contractuales tipo
CarPanel	Virginia del Norte, Estados Unidos — una transferencia real a un tercer país, amparada por las cláusulas contractuales tipo
Nuestros propios registros de cuenta y facturación	París, Francia (UE)

Si usas CarPanel, ten en cuenta que los datos que guardas sobre tus propios clientes se almacenan en Estados Unidos. Es lícito al amparo de las cláusulas anteriores y, si no encaja con tu evaluación de riesgo, dínoslo: mover un proyecto entre regiones es una migración que podemos planificar contigo.

8. Cuánto tiempo conservamos los datos

Qué	Cuánto	Por qué ese plazo
Cuenta y configuración	La vida de la cuenta, y después 30 días	Esos 30 días son tu ventana de exportación según los términos — art. 25 del Reglamento de Datos
Documentos subidos a InvoiceMatch	Suprimidos 30 minutos después del procesamiento	El producto no los necesita después, así que no los guarda
Otro contenido de cliente en las aplicaciones	Según el acuerdo de tratamiento y los ajustes del producto	Tú decides; nosotros ejecutamos
Facturas y registros contables	5 años desde el final del año natural en que venció el impuesto	art. 86 § 1 Ordenanza Tributaria; art. 74 Ley de Contabilidad
Correspondencia de soporte	3 años desde el cierre	Plazo de prescripción, art. 118 Código Civil
Registros de servidor y de seguridad	12 meses	Bastante para investigar, poco para acumular
Consentimientos y oposiciones de marketing	Hasta su retirada, más un registro de exclusión conservado de forma indefinida	Para que “no” siga significando “no”
Tu elección sobre la analítica	En tu dispositivo, hasta que la borres o la cambies	Registra tu decisión, así que debe sobrevivir a la visita
Datos de analítica en Google	14 meses como máximo	El ajuste de retención de Google, fijado en el plazo útil más corto
Datos de contacto profesional de prospectos	12 meses desde el último contacto	Más allá, el interés ya no prevalece sobre la injerencia

Cuando vence un plazo suprimimos o anonimizamos de forma irreversible. Las copias de seguridad caducan en su propio ciclo, dentro de los 30 días siguientes a la supresión.

9. Tus derechos

Conforme al RGPD puedes exigirnos lo siguiente. Todo es gratuito y respondemos en el plazo de un mes desde la solicitud; si es realmente compleja podemos prorrogarlo dos meses y te diremos por qué dentro del primer mes.

• Acceso — artículo 15. Una copia de tus datos y la información de esta política aplicada específicamente a ti.
• Rectificación — artículo 16. Corregir lo incorrecto y completar lo que falte.
• Supresión — artículo 17. Debemos suprimir, salvo que aún necesitemos los datos para una obligación legal (las facturas son el caso habitual) o para una reclamación. Si nos negamos en parte, te diremos exactamente qué parte y qué precepto.
• Limitación — artículo 18. Congelar el tratamiento mientras se resuelve una discusión sobre exactitud o interés legítimo.
• Portabilidad — artículo 20. Los datos que nos diste, en un formato estructurado, de uso común y lectura mecánica. En la práctica: una exportación, no una captura de pantalla.
• Oposición — artículo 21. Frente a todo lo que hacemos con base en un interés legítimo. En marketing directo la oposición es absoluta: debemos parar, y paramos.
• Retirar el consentimiento — artículo 7.3. En cualquier momento, con la misma facilidad con que se dio. La retirada no afecta a lo que fue lícito antes.

Para ejercer cualquiera de ellos escribe a [email protected]. Podemos pedirte que confirmes tu identidad, pero solo cuando realmente no podamos determinarla: no usamos la verificación de identidad como obstáculo.

Reclamaciones. Si crees que hemos tratado tus datos de forma ilícita, dínoslo primero si quieres — suele ser la vía más rápida. No estás obligado. Puedes reclamar directamente ante la autoridad de control:

Prezes Urzędu Ochrony Danych Osobowych (Presidente de la Oficina de Protección de Datos Personales) ul. Stawki 2, 00-193 Varsovia, Polonia uodo.gov.pl

También puedes acudir a los tribunales. Si resides en otro país de la UE o del EEE, puedes reclamar ante tu propia autoridad nacional de control. Si resides en Colombia, puedes además dirigirte a la Superintendencia de Industria y Comercio conforme a la Ley 1581 de 2012.

10. Decisiones automatizadas y elaboración de perfiles

No tomamos decisiones sobre ti basadas únicamente en medios automatizados que produzcan efectos jurídicos o te afecten significativamente de modo similar. El artículo 22 del RGPD no entra en juego.

Concretamente: nuestras puntuaciones de coincidencia, revisiones de IA y señales de estado son sugerencias con la aritmética a la vista. Decide una persona. A nadie se le deniega una cuenta, se le cobra distinto o se le reporta a una autoridad porque lo dijera un modelo.

Dos matices que preferimos declarar antes que ocultar:

• Tpay y los esquemas de tarjetas sí ejecutan controles automatizados de fraude y riesgo sobre los pagos, y un control puede acabar en un pago rechazado. Ese tratamiento es de Tpay, con su propia base jurídica, y su información de privacidad explica la lógica y tus derechos frente a ella. Si un pago se rechaza, te ayudaremos a encontrar otra forma de pagar.
• En nuestra propia operación puntuamos el estado de las cuentas para decidir a quién escribir sobre una prueba estancada. Cambia el mensaje que recibes, no lo que pagas ni si te atendemos, y puedes oponerte conforme al artículo 21 en cualquier momento.

11. Seguridad

Somos un equipo pequeño, así que nuestra postura de seguridad se construye sobre cosas que aguantan sin un departamento de seguridad: cifrado en tránsito (TLS) y en reposo; acceso de mínimo privilegio con cuentas individuales y autenticación multifactor; separación entre producción y todo lo demás; secretos en un gestor administrado, nunca en el repositorio; autorización con denegación por defecto en la base de datos; y plazos de conservación lo bastante cortos para que una brecha no pueda derramar lo que ya no tenemos.

Las medidas se describen íntegras en el anexo 2 del acuerdo de tratamiento, que es el documento que nos obliga contractualmente.

Si ocurre algo, notificaremos a la autoridad de control en 72 horas cuando lo exija el artículo 33, e informaremos a las personas afectadas sin dilación indebida cuando lo exija el artículo 34. Si eres cliente y el incidente afecta a datos que tratamos para ti, te lo diremos sin dilación indebida cumpla o no el umbral de notificación: tienes que hacer tu propia evaluación del artículo 33 y no puedes hacerla si nos quedamos callados.

¿Has encontrado una vulnerabilidad? Escribe a [email protected]. Repórtala antes de publicarla y no te trataremos como a un atacante.

12. Menores

Nuestros productos son herramientas de trabajo. No se dirigen a menores y no recogemos a sabiendas datos de personas menores de 16 años. Si aun así nos llegan datos de un menor —por ejemplo dentro de un documento subido por un cliente— se tratan conforme al acuerdo de tratamiento y, si nos avisas, los suprimimos.

13. Cookies y almacenamiento en el dispositivo

Se tratan por separado y con honestidad en la política de cookies, incluido por qué el banner de consentimiento es como es.

14. Cambios en esta política

La fecha al inicio de esta página indica la versión en vigor. Cuando cambiemos algo que te afecte materialmente —una nueva finalidad, una nueva base jurídica, una nueva categoría de destinatarios— avisaremos por correo a los titulares de cuenta antes de que entre en vigor, en lugar de cambiar la página en silencio. Las versiones anteriores están disponibles a petición.

15. Contacto

[email protected] — para ejercer un derecho, preguntar sobre esta política o decirnos que algo lo hemos hecho mal.

Dirección postal, datos registrales y teléfono: al inicio de esta página.