Privacidad y seguridad

Este aviso explica cómo Fintable trata los datos personales cuando visita nuestros sitios web, utiliza el servicio o se pone en contacto con nosotros. El registro público de subencargados, disponible en inglés, identifica proveedores, finalidades y lugares de tratamiento conocidos. Nuestros documentos de seguridad y cumplimiento describen el programa de seguridad.

1. Nuestra identidad

El servicio es operado por Fintable LLC, Ucrania (ТОВ «ФІНТЕЙБЛ», número de registro ucraniano 45534002). Para consultas de privacidad o ejercer sus derechos, escriba a [email protected].

Somos responsables del tratamiento de las relaciones con clientes, facturación, soporte, seguridad y actividades del sitio cuyas finalidades determinamos. Cuando tratamos datos por cuenta de una organización, actuamos como encargados, o subencargados si esa organización también es encargada. La organización determina las finalidades e instrucciones para los datos de sus clientes. Este aviso no sustituye un acuerdo de tratamiento ni autoriza nuevos usos de esos datos.

2. Datos recogidos y fuentes

• Cuenta y Workspace: nombre, correo electrónico, organización, identificadores, autenticación, preferencias, miembros y permisos, facilitados por usted o el administrador de su Workspace.
• Datos financieros: nombres e identificadores de cuentas, saldos, transacciones, descripciones, contrapartes, categorías e inversiones, según los datos proporcionados por el banco o proveedor que conecte. Las descripciones pueden revelar información de terceros o asuntos sensibles.
• Integraciones: identificadores de conexión, tokens de acceso y renovación, claves API, destinos, identificadores de hojas de cálculo o bases de datos, correspondencias de campos y resultados de sincronización. Proceden de usted y de los servicios autorizados. La autorización bancaria normalmente se realiza con el banco o proveedor; conservamos los tokens necesarios para mantener la conexión.
• Facturación: suscripciones, pedidos, estado del pago, importes, moneda, contactos, referencias del proveedor y detalles limitados del medio de pago. Los proveedores recogen los datos completos de la tarjeta en sus procesos de pago; no almacenamos números completos de tarjetas.
• Soporte: mensajes, adjuntos, capturas y datos pertinentes de cuentas, finanzas o destinos utilizados para investigar una consulta.
• Datos técnicos y de uso: IP, navegador, dispositivo, fechas, páginas visitadas, referencias, identificadores de cookies, actividad y registros de diagnóstico. Los registros de API e integraciones pueden contener solicitudes y respuestas, con ocultación de secretos y límites de tamaño.

Los datos de contacto y autenticación son necesarios para crear y proteger una cuenta; la conexión y los datos autorizados, para sincronizar; y los datos de facturación, para una suscripción de pago. Sin ellos no podemos prestar la función correspondiente. La participación en marketing es opcional.

3. Finalidades y bases jurídicas

Cuando somos responsables y se aplica el RGPD:

• Servicio y consultas precontractuales: ejecución del contrato o medidas solicitadas antes de contratar. Para representantes de organizaciones, nuestro interés legítimo es gestionar la relación comercial.
• Facturación, registros y requerimientos legales: ejecución contractual y obligaciones contables, fiscales y legales aplicables.
• Soporte, resolución de problemas y seguridad: interés legítimo en resolver incidencias, evitar abusos y mantener la fiabilidad. Para datos tratados por cuenta de clientes, seguimos sus instrucciones y los términos de tratamiento aplicables.
• Comprender el uso y mejorar Fintable: interés legítimo en conocer el rendimiento y la usabilidad. Se requiere consentimiento cuando la ley lo exige para cookies o tecnologías similares.
• Marketing y medición publicitaria: consentimiento cuando sea obligatorio, o un interés legítimo permitido para comunicar ofertas pertinentes a clientes existentes. Puede oponerse al marketing directo en cualquier momento.

Nuestros intereses no prevalecen sobre sus derechos. Este aviso no constituye un consentimiento general para usar los datos de sus clientes con fines propios.

4. Destinatarios e inteligencia artificial

El personal autorizado y proveedores de redes de distribución, copias de seguridad, correo, IA, analítica y pagos pueden acceder a datos pertinentes para operar, proteger y dar soporte al servicio. El registro de subencargados explica sus funciones.

Los administradores y miembros autorizados de un Workspace acceden según sus permisos. Los bancos y proveedores intercambian datos para las conexiones autorizadas. Airtable, Google Sheets, Notion u otros destinos elegidos reciben los datos seleccionados y tratan sus copias bajo sus propios términos. Asesores y autoridades pueden recibir información necesaria para cumplir la ley o formular, ejercer o defender reclamaciones.

La IA utilizada por Fintable ayuda en investigaciones de soporte, búsqueda de consultas relacionadas, interpretación de adjuntos, redacción de respuestas, ingeniería y seguridad. Puede tratar correspondencia, capturas, registros y datos personales o financieros pertinentes. La asistencia para reglas de categorías puede tratar la instrucción y la transacción de ejemplo que facilite. El registro identifica proveedores y servicios alternativos; sus condiciones de conservación y entrenamiento de modelos varían según el proveedor y la cuenta.

Los asistentes que usted conecte mediante MCP pueden solicitar datos del perfil, Workspaces, conexiones, cuentas, transacciones, inversiones, categorías e integraciones dentro de sus permisos, y realizar acciones autorizadas disponibles. Los resultados no incluyen contraseñas ni tokens de acceso de proveedores. El proveedor elegido recibe los resultados bajo sus propios términos y puede conservarlos independientemente. Desconecte la aplicación en Security → API tokens & connected apps para impedir accesos futuros; esto no elimina las copias ya recibidas. Es un uso distinto de la IA propia de Fintable.

Ingeniería de seguridad: Fintable participa en el Cyber Verification Program de Anthropic. El material de ingeniería y la actividad de investigación de seguridad pueden estar sujetos a supervisión de Anthropic. Los diagnósticos pueden contener datos personales o financieros de clientes.

5. Ubicaciones y transferencias internacionales

Los servidores de Fintable están alojados en Ucrania, salvo que un acuerdo o la ley exijan otra cosa. Por ejemplo, los datos de las conexiones de Akoya se alojan en Estados Unidos.

Mantenemos copias cifradas en Ucrania y una copia externa cifrada en Fráncfort, Alemania. Los entornos controlados de soporte, desarrollo y recuperación también pueden contener copias de producción. Su inventario completo de países y accesos remotos sigue en verificación.

Los proveedores pueden tratar datos en otros países, incluidos Estados Unidos y, para el servicio alternativo DeepSeek configurado, China. La sede de un proveedor no determina dónde trata los datos. Consulte el registro; este aviso no promete tratamiento exclusivo en la UE.

Cuando se aplican las reglas del RGPD sobre transferencias, se requiere una decisión de adecuación aplicable u otro mecanismo válido, como cláusulas contractuales tipo apropiadas y las medidas complementarias necesarias. Aún no hemos completado la verificación de las garantías contractuales para todas las vías de tratamiento. No afirmamos que existan cláusulas firmadas con todos los proveedores ni que sus términos publicados basten para cubrir a Fintable. Solicite información y copias de las garantías aplicables a un acuerdo propuesto en [email protected], con las supresiones necesarias.

6. Conservación

• Cuenta y finanzas: conservamos datos para la cuenta, conexión, historial y API. Desconectar un banco o eliminar una cuenta inicia la limpieza financiera pertinente. La eliminación es asíncrona y conserva un registro de cuenta que permite restaurarla; no borra de inmediato todos los datos personales. Puede solicitar la supresión de los datos restantes.
• Archivos de registro de aplicación, API y MCP: rotación configurada a los 30 días; registros HTTP detallados de proveedores externos, a los 2 días. No son plazos aplicables a todos los registros de soporte, eventos o copias.
• Soporte e investigaciones: según la necesidad de resolver consultas, mantener antecedentes pertinentes, investigar incidentes y gestionar disputas.
• Facturación y asuntos legales: según las obligaciones contables y fiscales y la necesidad de formular, ejercer o defender reclamaciones.
• Copias de seguridad e investigación: borrar en producción no elimina inmediatamente todas las copias. El plazo depende de la rotación, recuperación y necesidad de investigación. Aún no se ha establecido un plazo máximo verificado común a todas las copias.
• Marketing: podemos conservar bajas y objeciones para respetarlas. Otros plazos dependen de la finalidad, configuración del proveedor y legislación.

Los bancos, destinos y proveedores de IA elegidos independientemente aplican sus propias reglas de conservación. Desconectarlos no elimina sus copias.

7. Sus derechos

Según la ley y las circunstancias, puede solicitar acceso, rectificación, supresión, limitación o una copia portable. Puede retirar el consentimiento sin afectar al tratamiento lícito anterior.

Puede oponerse al tratamiento basado en intereses legítimos y al marketing directo en cualquier momento. Use el enlace de baja o escriba a [email protected]. Los mensajes esenciales de cuenta y servicio pueden seguir siendo necesarios.

Envíe solicitudes de privacidad a esa dirección. Podemos pedir información razonable para verificar su identidad. Si se aplica el RGPD, respondemos sin dilación indebida y normalmente en un mes; explicaremos dentro de ese mes cualquier prórroga permitida. Explicaremos las excepciones legales pertinentes. Cuando tratamos datos por cuenta de una organización, la ayudamos a responder.

Puede reclamar ante la autoridad de protección de datos donde resida, trabaje o considere que ocurrió una infracción, como el Comisionado del Parlamento de Ucrania para los Derechos Humanos, la autoridad de control de su país de la UE/EEE o la ICO en Reino Unido.

8. Cookies y publicidad

Usamos cookies y almacenamiento similar para acceso, seguridad, preferencias y atribución. Google Analytics puede recibir eventos de páginas y uso, identificadores de cookies y cuentas y eventos de compra de suscripciones. Cuando está habilitada, la medición publicitaria de OpenAI recibe identificadores publicitarios, navegador e IP, eventos de registro y compra e identificadores de correo o cuenta transformados mediante hash. El hash no los vuelve anónimos. Estos eventos publicitarios no incluyen transacciones bancarias conectadas.

Puede gestionar cookies en el navegador y comunicarnos objeciones de marketing o publicidad. Bloquear cookies puede afectar al acceso y otras funciones. Este aviso no obtiene consentimiento ni sustituye una elección cuando sea obligatoria.

9. Seguridad, incidentes y cambios

Utilizamos controles de acceso, conexiones y credenciales de integración cifradas, copias de seguridad y supervisión. Ningún sistema garantiza seguridad absoluta. Notifique incidentes sospechosos a [email protected].

Como encargados, notificamos las violaciones de datos al responsable sin dilación indebida desde que tenemos conocimiento. Como responsables, notificamos a autoridades y personas afectadas cuando lo exige la ley. Estos compromisos de notificación sustituyen los plazos más largos de documentos de seguridad anteriores; prevalece cualquier plazo legal o contractual más estricto.

Actualizamos el aviso y el registro cuando cambian las prácticas. La fecha identifica esta versión; publicarla no sustituye avisos adicionales ni consentimientos exigidos por ley.