Política de privacidad

Esta política se aplica a los visitantes del sitio web de Cashbox (cashbox.events) y a las organizaciones y usuarios de la aplicación Cashbox.

Cuando usas Cashbox a través de tu empleador o productora, esa organización es la responsable del tratamiento de los datos de eventos, gastos, ingresos y justificantes que introduce tu equipo. Cashbox actúa como encargado del tratamiento por cuenta suya.

Para el propio sitio web y para tu cuenta personal (nombre, correo, acceso), el responsable del tratamiento es Cashbox.

Datos de cuenta y autenticación: nombre, correo electrónico, foto de perfil (si la facilitas), credenciales cifradas o identificadores de inicio de sesión federado (p. ej. Google), pertenencia a organizaciones, rol e idioma preferido.

Configuración de la organización: nombre de la organización, NIF, moneda predeterminada, configuración regional, categorías, umbrales de aprobación, catálogo de tipos de IVA y miembros invitados.

Datos financieros introducidos por tu equipo: eventos, presupuestos, gastos (incluidos proveedor, importes, fechas, líneas de IVA y tipos de cambio fijados), líneas de ingresos, aprobaciones, notas y el historial de auditoría asociado.

Archivos subidos: facturas y justificantes adjuntos, y capturas de pantalla opcionales adjuntas a solicitudes de soporte o informes de error. Se guardan en Firebase Storage dentro de tu organización. Un CSV que importas se lee en tu navegador y el archivo en sí nunca se guarda: solo se guardan las filas que confirmas, como registros de gastos o ingresos.

Datos de facturación: plan, estado de la suscripción, correo de facturación, número de IVA e historial de facturas. Los datos de la tarjeta los trata Stripe y nunca se guardan en los servidores de Cashbox.

Comunicaciones: el contenido de los mensajes que nos envías mediante el formulario de contacto, el de soporte, los informes de error y el correo directo.

Datos técnicos: dirección IP, navegador, tipo de dispositivo, ubicación aproximada deducida de la IP, marcas de tiempo y registros de servidor habituales usados para la seguridad, la prevención de abusos y la depuración.

Para prestar el servicio: autenticar a los usuarios, mostrar los datos de tu organización, gestionar aprobaciones, calcular totales, enviar correos transaccionales (invitaciones, aprobaciones, restablecimiento de contraseña) y mantener un registro de auditoría a prueba de manipulaciones.

Para dar soporte: responder a los mensajes de contacto, soporte e informes de error, y analizar los problemas que nos comunicas.

Para ayudar en las importaciones: cuando importas un CSV, sus cabeceras de columna y una muestra de sus filas se envían a la API Gemini de Google para proponer una asignación de columnas. Confirmas la asignación antes de que se guarde nada y, si el servicio no está disponible, la importación asigna por nombre.

Para facturar y gestionar suscripciones: aplicar los límites del plan (eventos activos, usuarios), procesar pagos con Stripe y emitir recibos.

Para mantener el servicio seguro: detectar abusos, prevenir el fraude, limitar los envíos y proteger al resto de clientes.

Para mejorar el producto: entender patrones de uso agregados y la fiabilidad. No vendemos información personal ni usamos los datos financieros de tu organización para entrenar modelos externos.

Ejecución de un contrato: prestar el servicio a la organización y al usuario que se registraron.

Interés legítimo: proteger el servicio, prevenir abusos, responder a consultas y mejorar la fiabilidad, ponderado con tus derechos.

Obligaciones legales: cumplir los requisitos contables, fiscales y otros requisitos legales (por ejemplo, conservar los datos de facturas).

Consentimiento: cuando decides enviarnos información opcional, como una captura de pantalla adjunta a un informe de error.

Compartimos datos con un pequeño grupo de proveedores de infraestructura y servicios, solo para que Cashbox funcione:

Google Cloud / Firebase: autenticación, base de datos Firestore y Cloud Storage (región de datos: UE cuando está disponible).

Vercel: alojamiento y entrega de la aplicación. Gestiona las solicitudes al sitio y a la API, y guarda registros de servidor habituales.

Stripe: facturación de suscripciones y pagos; trata los datos de tu tarjeta en su propio entorno con cumplimiento PCI.

Resend: envío de los correos transaccionales y de notificación que emite el producto.

Google Gemini: asignación de columnas en las importaciones CSV. Cuando importas un archivo, sus cabeceras de columna, sus 15 primeras filas y los distintos valores de categoría o fuente de ingresos que contiene se envían a la API Gemini para que proponga qué columna es cuál. La propuesta es una sugerencia que tú confirmas, y la importación funciona aunque la llamada falle.

Google Analytics: analítica web en nuestras páginas públicas, cargada solo con tu consentimiento; las direcciones IP se anonimizan.

Tenemos contratos escritos de encargo de tratamiento con cada subencargado y solo compartimos los datos mínimos necesarios para ese servicio. Las transferencias internacionales están cubiertas por cláusulas contractuales tipo cuando corresponde.

Los datos introducidos en una organización (eventos, gastos, ingresos, adjuntos, entradas de auditoría) son visibles para los demás miembros de esa organización según el rol que tengan asignado.

Los propietarios y administradores de una organización ven los miembros, las invitaciones, los cambios de rol y el registro financiero completo. Los propietarios pueden exportar o eliminar los datos de su organización en cualquier momento.

No vendemos información personal ni la compartimos con terceros para su propia publicidad.

Podemos comunicar información si la ley lo exige, en respuesta a un procedimiento legal válido o cuando sea razonablemente necesario para proteger el servicio, a nuestros usuarios o nuestros derechos.

Los datos de cuenta y de organización se conservan mientras la organización esté activa. Si se cancela una suscripción, los datos se conservan durante un breve periodo de gracia para permitir su exportación y después se eliminan o anonimizan previa solicitud.

Los datos de facturas, fiscales y contables pueden conservarse durante más tiempo cuando lo exija la legislación estonia y de la UE (normalmente hasta 7 años para los registros contables).

Los registros de servidor y los datos de seguridad se conservan durante un periodo limitado y adecuado a su finalidad.

Los datos se transmiten mediante TLS y se guardan en infraestructura gestionada con cifrado en reposo. Los accesos se basan en roles y se aplican tanto en la aplicación como en la base de datos mediante reglas de seguridad.

Cada escritura sobre datos financieros queda registrada en un registro de auditoría con el autor, la hora y el cambio. Ningún sistema es perfectamente seguro: si crees que tu cuenta se ha visto comprometida, contacta con nosotros de inmediato.

Según el RGPD y leyes similares, puedes solicitar el acceso a tus datos personales, su rectificación o su supresión; oponerte a determinados tratamientos o solicitar su limitación; y pedir una copia portable de tus datos.

Los propietarios pueden exportar los datos financieros de su organización directamente desde el producto. Para solicitudes sobre una cuenta personal, escribe a hello@cashbox.events con información suficiente para identificar el registro.

Si consideras que no hemos atendido tu solicitud adecuadamente, puedes presentar una reclamación ante la autoridad estonia de protección de datos (Andmekaitse Inspektsioon) o ante la autoridad de control del Estado miembro de la UE en el que residas.

Cashbox usa un pequeño número de cookies estrictamente necesarias para mantener tu sesión, protegerte frente a la falsificación de solicitudes entre sitios y recordar tu idioma. Son necesarias para que el servicio funcione y no son opcionales.

Con tu consentimiento, también usamos Google Analytics 4 para entender cómo los visitantes encuentran y usan nuestra web pública. Solo se carga después de que aceptes en el aviso de cookies: si lo rechazas o lo ignoras, no se carga ningún script de analítica ni se instala ninguna cookie de analítica.

Si aceptas, también guardamos los parámetros de campaña (como utm_source o gclid) del enlace que te trajo por primera vez al sitio, para saber qué acción de marketing produjo un registro. Si lo rechazas, se descartan y nunca salen de tu navegador.

Puedes cambiar tu elección en cualquier momento borrando los datos de este sitio en tu navegador, con lo que el aviso vuelve a aparecer. En cualquier caso, volvemos a preguntarte al menos cada seis meses.

Cashbox es un producto para empresas y no está dirigido a menores de 16 años. Si crees que un menor ha creado una cuenta, contacta con nosotros y la eliminaremos.

Podemos actualizar esta política a medida que evolucione el producto. Los cambios importantes se destacarán en la página y, cuando proceda, se notificarán por correo a los propietarios de las organizaciones.

La fecha de «última actualización» de la parte superior de esta página siempre refleja la versión vigente.

Para preguntas sobre privacidad, solicitudes de ejercicio de derechos o información sobre subencargados, escribe a hello@cashbox.events.