Política de privacidad

1. Responsable

Xestando es un nombre comercial de Imtade, con CIF B27497734 y domicilio en Quinzán de Mato nº 17, España. Puedes contactar mediante info@xestando.com o la página de soporte.

2. Alcance

Esta política se aplica al sitio web, la aplicación y los servicios de Xestando, incluido el servidor MCP que permite conectar asistentes de inteligencia artificial. Los servicios de terceros conectados conservan sus propias condiciones y políticas.

3. Datos que tratamos

Cuenta y autenticación

Nombre, correo electrónico, identificadores de usuario, organización, permisos y credenciales de sesión OAuth. ChatGPT y Codex no reciben tu contraseña de Xestando.

Datos empresariales

Información que gestionas en Xestando, como clientes, proveedores, empleados, facturas, presupuestos, gastos, comunicaciones, calendarios, documentos y estados de operaciones.

Integraciones con inteligencia artificial

Cuando activas el plugin de Xestando, tratamos las solicitudes de herramientas, los parámetros necesarios, el resultado y los identificadores técnicos imprescindibles para atender la petición, aplicar permisos y mantener trazabilidad. Solo se comparte con el asistente la información necesaria para la acción solicitada. Prompt Shield puede sustituir datos privados por marcadores antes de enviarlos al modelo.

Documentos

Los documentos se comparten con el asistente únicamente cuando los seleccionas o autorizas su uso. El resto de la biblioteca no se entrega al modelo.

Extensión Chrome «Xestando PDF Viewer»

Cuando eliges Xestando como visor de PDF de Chrome, la extensión accede al contenido del PDF que has abierto, su nombre y la dirección original del documento exclusivamente para entregarlos al visor web de Xestando. El PDF se mantiene en la memoria del navegador y se transfiere directamente entre la extensión y el visor mediante un ArrayBuffer: no se almacena en la extensión, no se guarda en el navegador, no se incluye en registros o analítica y no se envía automáticamente al backend ni a terceros.

Para mantener iniciada la cuenta, el token de acceso se conserva temporalmente durante la sesión de Chrome y un token de renovación rotatorio se guarda en el almacenamiento local privado de la extensión durante un máximo de 30 días. No se almacena la contraseña. El token de renovación se sustituye después de usarlo y se elimina si el servidor lo rechaza o al desinstalar la extensión.

La dirección original se utiliza únicamente para conservar el nombre y el contexto del documento durante esa apertura; la extensión no recopila el historial de navegación. Si después solicitas expresamente una función que requiera el servidor —por ejemplo, guardar el documento en Xestando o aplicar una firma digital—, se aplicará el tratamiento correspondiente a esa acción y se te mostrará desde la propia aplicación.

Extensión Chrome «Xestando Importer»

Cuando pulsas «Leer y llevar a Xestando» en una aplicación compatible, la extensión lee los clientes y facturas accesibles desde tu propia sesión. Los datos pueden incluir nombres, identificadores fiscales, correo electrónico, teléfono, direcciones, números y fechas de factura, conceptos, cantidades, impuestos e importes. Se utilizan únicamente para preparar la importación que solicitas.

La extensión no pide ni guarda contraseñas ni lee cookies o datos de tarjetas. Mantiene un único paquete pendiente en el almacenamiento de sesión de Chrome, lo elimina al entregarlo a la pestaña de Xestando y descarta los paquetes que llevan más de 30 minutos al intentar recogerlos. Ese almacenamiento se elimina al cerrar la sesión del navegador. No se envía a servicios intermedios, publicidad o analítica y no se recopila el historial de navegación.

La pestaña de Xestando recibe el paquete directamente para mostrar la vista previa y validar la importación. Al confirmarla, los clientes y las facturas se guardan en tu organización de Xestando y se aplica la conservación de datos empresariales descrita en esta política. Puedes deshacer la importación desde esa pantalla; la extensión no modifica ni elimina las facturas de la aplicación de origen. Los datos no se venden ni se utilizan para evaluar solvencia, conceder créditos o fines ajenos a la importación. El código de la extensión está incluido en su paquete; no ejecuta código remoto.

Datos técnicos

Podemos tratar dirección IP, navegador, dispositivo, fechas, identificadores de sesión y registros de errores o seguridad para mantener y proteger el servicio. Los errores de la extensión no incluyen el contenido, el nombre ni la URL del PDF.

4. Finalidades y bases jurídicas

• Prestar las funciones contratadas de gestión, facturación, documentos, comunicaciones e integraciones, sobre la base de la relación contractual.
• Ejecutar las solicitudes que realizas mediante asistentes conectados y mostrar las confirmaciones necesarias.
• Cumplir obligaciones fiscales, contables o legales cuando resulten aplicables.
• Proteger cuentas, prevenir fraude, resolver incidencias y mantener la seguridad y fiabilidad conforme al interés legítimo de Xestando y sus usuarios.

5. Conexión con Google: acceso, datos y uso

Puedes utilizar Xestando sin conectar las funciones de importación de Google. Cuando eliges una de ellas, Google te solicita autorización mediante OAuth. Xestando recibe los permisos que aceptas y los utiliza para la función que solicitas. Nunca recibimos ni almacenamos la contraseña de tu cuenta de Google.

Inicio de sesión e identidad

Si accedes con Google, recibimos el identificador de tu cuenta, tu nombre, dirección de correo y, cuando esté disponible, imagen de perfil. Los utilizamos para identificarte, vincular la conexión a tu cuenta de Xestando y mantener la sesión. El inicio de sesión por sí solo no autoriza a leer Gmail, Contactos, Calendar ni tus archivos de Drive.

Gmail: lectura e importación de facturas y documentos

La integración utiliza el permiso gmail.readonly. Puede leer identificadores de mensajes e hilos, remitentes y destinatarios, asunto, fecha, etiquetas, fragmentos y contenido del mensaje, así como el nombre, tipo y contenido de los adjuntos. Consultamos estos datos para mostrar los correos que cumplen tu búsqueda o periodo, localizar sus adjuntos e importar los documentos o facturas que solicitas a la gestión de gastos de Xestando.

La importación manual descarga los adjuntos que seleccionas. La importación automática de gastos analiza los PDF de los correos comprendidos en el periodo que indicas cuando inicias esa función, identifica las facturas y crea los gastos correspondientes. No realiza una copia general de tu buzón. Gmail se utiliza en modo de solo lectura: esta integración no envía ni borra correos, no los marca como leídos y no crea ni modifica etiquetas.

Google Drive: archivos que seleccionas

Con el permiso drive.file, accedemos a los archivos que eliges o abres con Xestando. Recibimos su identificador, nombre, tipo de archivo y contenido para mostrar la selección y copiar el documento solicitado a tu espacio de Xestando. Esta integración no solicita acceso general al contenido de todo tu Drive.

Google Contactos: importación de contactos

Con contacts.readonly, consultamos los nombres, direcciones de correo, teléfonos, direcciones y organizaciones de tus contactos para mostrar una vista previa y permitirte importarlos como clientes o proveedores. Guardamos en Xestando los contactos que eliges importar. Esta función no modifica ni elimina los contactos de tu cuenta de Google.

Google Calendar: calendarios y citas

Cuando conectas Calendar, accedemos a los identificadores, nombres y permisos de tus calendarios y a los eventos de los calendarios que seleccionas: título, descripción, ubicación, fechas y horas e identificadores. Los utilizamos para importar las citas elegidas a Xestando y para crear o actualizar en Google Calendar las citas que eliges exportar. Estas operaciones se realizan en el calendario seleccionado y según tus permisos.

Análisis de adjuntos con inteligencia artificial

Si solicitas el análisis de una factura con IA o inicias la importación automática de gastos de Gmail, el servidor de Xestando envía a la API de OpenAI el texto extraído y, cuando sea necesario, las imágenes de las páginas de los PDF que autorizas a analizar. Este contenido puede incluir nombres, direcciones, identificadores fiscales, conceptos, importes y otros datos personales presentes en el documento. Se utiliza para distinguir facturas de otros documentos y extraer los datos necesarios para registrar el gasto.

En la importación automática pueden analizarse también adjuntos que finalmente no se reconozcan como facturas. Por eso debes elegir un periodo y correos adecuados para la tarea. Esta función no requiere conectar ChatGPT ni Codex, y no envía a OpenAI tu contraseña ni los tokens de acceso o renovación de Google. La importación manual de un archivo, sin solicitar análisis con IA, no lo envía a OpenAI para esta finalidad.

Xestando no utiliza los datos obtenidos de las API de Google Workspace para desarrollar, entrenar ni mejorar modelos generales o no personalizados de inteligencia artificial o aprendizaje automático. Tampoco los comparte para que terceros realicen ese entrenamiento. El análisis utiliza modelos ya entrenados para ejecutar la función que has solicitado.

Uso limitado y acceso humano

Xestando aplica la Política de Datos de Usuario de los Servicios de API de Google y sus requisitos de Uso Limitado al uso y a la transferencia de información recibida de las API de Google. Las integraciones de Workspace siguen también la política de datos de Google Workspace.

Los datos de Gmail, Drive, Contactos y Calendar, y los datos derivados de ellos, se utilizan para las funciones que solicitas. No se venden, no se ceden a intermediarios de datos, no se utilizan para publicidad, segmentación o seguimiento publicitario y no se usan para evaluar solvencia ni conceder créditos. La medición de visitas del sitio web no recibe el contenido de tus correos, contactos, calendarios ni documentos de Google.

El personal de Xestando no lee habitualmente tus correos o archivos de Google. El acceso humano queda limitado a los datos concretos para los que hayas dado un consentimiento explícito y documentado, por ejemplo para resolver una incidencia de soporte, o al acceso necesario por seguridad o por una obligación legal.

6. ChatGPT, Codex y otros asistentes

Al conectar un asistente autorizas a ese servicio a llamar a las herramientas de Xestando en tu nombre dentro de los permisos concedidos. Las operaciones con efectos relevantes pueden requerir una confirmación adicional en Xestando. OpenAI u otro proveedor del asistente tratará la información recibida conforme a su propia política y a la configuración de tu cuenta o espacio de trabajo.

La conexión con un asistente y el análisis de facturas mediante la API de OpenAI son funciones distintas. Si autorizas que un asistente consulte un documento importado desde Google, se mantienen las restricciones de Uso Limitado descritas en esta política.

Puedes revocar la conexión desde el asistente o desde las opciones de cuenta. La revocación impide nuevas llamadas, sin perjuicio de los registros que deban conservarse por seguridad u obligación legal.

7. Destinatarios, proveedores y transferencias

Los datos se comunican cuando es necesario para prestar la función que solicitas, cumplir una obligación legal o proteger el servicio. No vendemos tus datos personales. Los destinatarios pueden ser:

• Google: tramita tu autorización y las consultas u operaciones de las integraciones. Puedes consultar su política de privacidad.
• Proveedores de infraestructura y almacenamiento de Xestando: procesan o alojan los datos de cuenta, los registros empresariales y los documentos importados para prestar el servicio, con acceso limitado a esa finalidad.
• OpenAI: recibe el contenido necesario para el análisis de documentos con IA cuando solicitas esa función, como se explica en el apartado de análisis de adjuntos. Consulta su política de privacidad.
• El proveedor del asistente que decidas conectar: recibe los resultados de las herramientas y los documentos cuya consulta autorizas.
• Usuarios autorizados de tu organización: acceden a los datos que importas a Xestando conforme a sus roles y permisos.
• Autoridades competentes: cuando exista una obligación legal de comunicar información.

Algunos proveedores pueden tratar datos fuera del Espacio Económico Europeo. Cuando corresponda, se aplican los mecanismos reconocidos para estas transferencias, como decisiones de adecuación o cláusulas contractuales tipo, y las restricciones de uso descritas en esta política. Puedes pedir información sobre los proveedores y las garantías aplicables escribiendo a info@xestando.com.

8. Almacenamiento, conservación y eliminación

Los datos de cuenta y los datos empresariales se guardan en los sistemas de Xestando mientras sean necesarios para prestar el servicio. Los archivos que importas desde Gmail o Drive y los contactos o eventos que importas pasan a formar parte de los documentos y registros de tu organización. En la importación de gastos también conservamos identificadores o huellas de los adjuntos para evitar duplicados. No archivamos una copia general de tu buzón o de tu cuenta de Google.

Conservación y eliminación de los datos de Google

• Identidad de Google: el identificador vinculado, nombre y correo asociados a tu cuenta se mantienen mientras exista la cuenta de Xestando. Puedes solicitar su eliminación junto con la cuenta.
• Correos y vistas previas: el servidor procesa los mensajes, metadatos, contactos, eventos y listas de archivos para atender la consulta o importación que inicias. No los guarda como un archivo permanente de tu cuenta de Google. El contenido mostrado permanece en la vista del navegador durante su uso.
• Adjuntos y registros importados: las copias de documentos de Gmail o Drive, contactos, citas y gastos se mantienen mientras la cuenta esté activa o hasta que los elimines o solicites su supresión. Los datos sujetos a conservación legal se mantienen solo para esa obligación durante el plazo aplicable.
• Tokens de Google: se mantienen mientras conservas la conexión local. Al desconectar esa conexión en Xestando, o al solicitar su retirada a soporte, se eliminan los tokens asociados. Revocar la autorización en Google invalida el acceso, pero no equivale por sí solo a eliminar las copias importadas ni todos los registros locales.

Los resultados de búsqueda y las vistas previas de Google se utilizan para atender la consulta e importación. Los tokens OAuth de acceso y renovación se conservan en el servicio de autenticación para mantener la conexión autorizada; se sustituyen o caducan conforme al proceso de Google y se eliminan de Xestando al retirar la conexión local. Un token de acceso temporal puede utilizarse en el navegador para el selector de archivos de Google Drive.

Conservación en el proveedor del análisis con IA

Según los controles de datos de la API de OpenAI, la API no utiliza los datos para entrenar modelos por defecto. Sus registros de prevención de abuso pueden conservar contenido hasta 30 días, con excepciones legales o de seguridad. La API Responses también conserva por defecto el estado de las respuestas durante 30 días. Estos plazos del proveedor son distintos de la conservación de la factura o del gasto en Xestando; no prometemos una conservación cero del contenido enviado a la API.

Solicitud de supresión

Puedes eliminar documentos y registros desde las funciones disponibles de Xestando o solicitar su eliminación, la de los datos importados de Google, los tokens y la cuenta mediante info@xestando.com. Identifica la cuenta y los datos que quieres eliminar; verificaremos que la solicitud procede de la persona autorizada. Los datos que deban mantenerse por obligaciones fiscales, contables o legales, o para atender reclamaciones, se conservarán durante el plazo aplicable con acceso limitado a ese fin. Cuando dejen de ser necesarios, se eliminarán.

Los registros técnicos se conservan durante el tiempo necesario para seguridad, soporte y trazabilidad. Las copias de respaldo siguen su ciclo de conservación y no se utilizan para reactivar datos eliminados para el uso ordinario del servicio.

Cómo revocar el acceso a Google

Puedes retirar la autorización de Xestando desde la página de conexiones de tu cuenta de Google. La revocación impide nuevas consultas cuando Google invalida la autorización. Si necesitas retirar además los tokens conservados por Xestando, solicita la desconexión a info@xestando.com.

Revocar Google no elimina los documentos, contactos, citas o gastos que ya hayas importado a Xestando. Para eliminar esas copias, utiliza las funciones de Xestando o solicita su supresión. Eliminar una copia en Xestando no borra el correo, contacto o archivo original de Google.

9. Protección de los datos

Las comunicaciones externas con la aplicación y las API de Google y OpenAI utilizan HTTPS, que cifra los datos durante el transporte. La conexión con Google utiliza OAuth para autorizar el acceso sin entregar tu contraseña a Xestando. Aplicamos autenticación, permisos por rol y separación de datos por organización para limitar quién puede consultar o modificar los registros y documentos.

El acceso a los sistemas que mantienen los datos y credenciales se restringe a los servicios y personas autorizados. Los tokens de Google no se incluyen en los mensajes enviados a modelos de IA ni en los resultados de las herramientas para asistentes. Mantenemos registros de seguridad y revisamos las medidas para prevenir accesos no autorizados y resolver incidencias.

10. Tus derechos y eliminación de cuenta

Puedes solicitar acceso, rectificación, supresión, limitación, oposición o portabilidad cuando resulte aplicable. También puedes solicitar la eliminación de tu cuenta y de los datos que no deban conservarse por obligación legal. Puedes retirar el consentimiento para las integraciones sin afectar al tratamiento previo y desconectar Google como se explica en el apartado de revocación.

Escribe a info@xestando.com indicando “Privacidad Xestando”. Podremos pedirte información razonable para verificar tu identidad. También puedes reclamar ante la Agencia Española de Protección de Datos.

11. Cambios

Podemos actualizar esta política para reflejar cambios funcionales, legales o de proveedores. Publicaremos aquí la versión vigente y su fecha de actualización. Si cambia la finalidad del uso de datos de Google, informaremos antes de aplicar ese cambio y solicitaremos una nueva autorización cuando corresponda.