Última actualización: 27 de octubre de 2026
Política de privacidad
Esta Política explica cómo Aproba trata los datos personales conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
1. Cuatro tratamientos distintos
Conviene distinguir desde el principio:
- Datos del despacho usuario (Aproba como responsable): los datos de quien contrata y usa Aproba (profesional, gestoría o despacho) y de los miembros de su equipo. Este tratamiento se rige por la presente Política.
- Datos de los clientes del despacho (Aproba como encargado): los datos de las personas extranjeras cuyos expedientes tramita el despacho (pasaporte, NIE, domicilio, documentación). Sobre estos datos, el despacho es el responsable y Aproba actúa como encargado del tratamiento, tratándolos únicamente siguiendo sus instrucciones. Las condiciones figuran en el Contrato de encargado del tratamiento (DPA).
- Personas que buscan un despacho (Aproba como responsable): si eres un particular y nos pides que te pongamos en contacto con un despacho de extranjería («Soy particular» al registrarte), tratamos tu nombre, tu teléfono, tu email si lo das, tu provincia y el trámite que necesitas, con tu consentimiento, solo para eso: pasar tu solicitud a un despacho de tu zona y contestarte. No se usan para nada más ni se venden.
- Personas que usan nuestras herramientas de pago (Aproba como responsable): si usas «Rellena tu EX online», «Tu tasa correcta» o «¿Cómo va mi expediente?», los datos que escribes o que leemos en la foto de tu pasaporte o tu TIE se usan solo para preparar tu documento en el momento. Aproba no los guarda: se quedan en la pestaña de tu navegador hasta que la cierras (con el pago queda solo una huella cifrada de tu fecha de nacimiento —o de tu trámite y su fecha en el informe— y, en la tasa y el escrito, de tu NIE o pasaporte, para que sirva a una sola persona). Para tu tasa, tus datos van al generador oficial de la Policía Nacional o de la Sede de Administraciones Públicas, que es quien la emite. La foto la lee la IA de Anthropic, nuestro proveedor (ver el apartado 5), y Aproba no la guarda. El pago y la factura (tu nombre y tu email) los gestiona Stripe, que actúa también aquí como encargado (apartado 5). Para mejorar estas herramientas contamos, de forma anónima y agregada, los pasos que se dan en ellas (por ejemplo, «abrió la herramienta» o «pulsó pagar») con Vercel Web Analytics: sin cookies, sin guardar nada en tu navegador y sin ningún dato tuyo; Vercel calcula una huella temporal de la visita que olvida en 24 horas (interés legítimo, art. 6.1.f RGPD).
2. Responsable del tratamiento
- Titular: ExpatfrancesCKNA07 S.L.
- NIF/CIF: B22993539
- Domicilio: Avenida Mediterráneo, 14 — 08380 Malgrat de Mar (Barcelona), España
- Contacto en materia de privacidad: aproba.software@gmail.com
3. Qué datos tratamos, con qué fin y con qué base
| Categoría de datos | Finalidad | Base jurídica (RGPD art. 6) |
|---|---|---|
| Identificación y contacto (nombre, email y, si lo indicas, teléfono) y datos del despacho (nombre, NIF). | Crear y gestionar la cuenta, prestar el servicio y dar soporte, incluida una llamada para ayudarte a empezar si nos has dado un teléfono. | Ejecución del contrato (art. 6.1.b). |
| Datos de facturación y pago (gestionados por Stripe; Aproba no almacena el número de tarjeta). | Cobro de la suscripción y obligaciones contables y fiscales. | Ejecución del contrato (art. 6.1.b) y obligación legal (art. 6.1.c). |
| Datos de uso y técnicos (registros de acceso, dirección IP, eventos de la aplicación). | Seguridad, prevención del fraude, funcionamiento y mejora del servicio. | Interés legítimo (art. 6.1.f). |
| Solicitud de un particular que busca un despacho: nombre, teléfono, email (opcional), provincia, trámite y, si lo escribe, un mensaje. | Ponerle en contacto con un despacho de extranjería de su zona y responderle. | Consentimiento (art. 6.1.a), que puede retirar en cualquier momento. |
| Datos de quien usa una herramienta de pago: los de su impreso, su tasa o su escrito (identidad, domicilio, contacto), las fechas de su expediente y, si la sube, la foto de su pasaporte o su TIE; los del pago, en Stripe. | Preparar el documento que pide (impreso, tasa a su nombre con el generador oficial, informe o escrito) y cobrarlo; emitir la factura. | Ejecución del contrato (art. 6.1.b) y obligación legal (art. 6.1.c). |
| Comunicaciones (correos de servicio y, en su caso, comerciales). | Informar sobre el servicio y, con consentimiento, enviar novedades. | Interés legítimo / consentimiento (art. 6.1.f / 6.1.a). |
Los datos de los clientes del despacho (incluidos los que puedan revelar la nacionalidad u otros aspectos sensibles) se tratan exclusivamente como encargado, por cuenta del despacho y según el DPA. El despacho es responsable de contar con una base de legitimación válida para esos tratamientos.
4. Plazos de conservación
- Datos de la cuenta: mientras la relación contractual esté vigente.
- Tras la baja: se conservan bloqueados durante los plazos de prescripción legal (mercantil, fiscal), generalmente hasta 6 años para la facturación, y después se suprimen.
- Solicitudes de particulares que buscan un despacho: 12 meses desde la solicitud, o hasta que retires tu consentimiento; después se suprimen.
- Documentos que prepara un particular (impreso, tasa, informe, escrito): Aproba no los conserva (ni los datos ni la foto; Anthropic aplica sus propios plazos, apartado 5). Stripe conserva el pago y la factura durante los plazos fiscales.
- Datos de los clientes del despacho: se conservan y se devuelven o suprimen según las instrucciones del despacho, conforme al DPA.
5. Destinatarios y encargados
No se ceden datos a terceros salvo obligación legal o, en el caso de un particular que nos lo pide, al despacho de extranjería al que pasamos su solicitud, que la trata como responsable para atenderle. Para prestar el servicio, intervienen los siguientes proveedores que actúan como encargados del tratamiento, con contrato conforme al art. 28 del RGPD:
| Proveedor | Finalidad | Ubicación | Garantía |
|---|---|---|---|
| Supabase (Supabase Inc.) | Alojamiento de la base de datos, autenticación y almacenamiento cifrado de documentos. | Unión Europea: Fráncfort, Alemania (AWS eu-central-1). | Datos alojados en la UE, cifrados en reposo (AES-256) y en tránsito (TLS). Acuerdo de encargado (DPA) de Supabase. |
| Anthropic (Anthropic PBC) — Claude | Validación y extracción asistida por IA de los documentos del expediente (p. ej. pasaporte, NIE). No se usan los datos para entrenar modelos. | EE. UU. | Cláusulas Contractuales Tipo (SCC) de la UE. Los datos no se usan para entrenar modelos. El proveedor borra las entradas y salidas en un plazo de 30 días, salvo que un contenido se marque por incumplir su política de uso (entonces puede conservarlo hasta 2 años) o que la ley obligue a conservarlo. |
| Stripe (Stripe Payments Europe, Ltd.) | Procesamiento de los pagos (suscripción a Aproba y pagos únicos). | Irlanda (UE) y EE. UU. | SCC de la UE. Stripe está certificada PCI-DSS nivel 1. |
| Resend (Resend, Inc.) | Envío de notificaciones y correos transaccionales a los clientes del despacho, y recepción de los correos con documentos que el despacho reenvía a su dirección de Aproba (los adjuntos se guardan en el almacenamiento de la UE). | EE. UU. (entrega a través de servidores en la UE, eu-west-1). | SCC de la UE. |
| Vercel (Vercel Inc.) | Alojamiento y entrega de la aplicación web. | Servidor de la aplicación en Fráncfort, Alemania (región fra1); las páginas se entregan desde su red global (edge). Empresa de EE. UU. | SCC de la UE. |
| Google (Google Ireland Ltd.) — Calendar y Meet | Solo si el despacho conecta su cuenta de Google: creación de las citas con enlace de videollamada en el calendario del despacho (fecha, hora y dirección de email del cliente invitado). | Irlanda (UE) y EE. UU. | SCC de la UE y Marco de Privacidad de Datos UE-EE. UU. El despacho puede desconectar su cuenta en cualquier momento desde Ajustes. |
| Meta (Meta Platforms Ireland Ltd.) — WhatsApp Business Platform | Solo si el despacho conecta su número de WhatsApp: recepción de los mensajes y documentos que sus clientes le envían a ese número y envío de los avisos del expediente desde él. La cuenta de WhatsApp Business es del despacho; Aproba accede por su cuenta. | Irlanda (UE) y EE. UU. | SCC de la UE y Marco de Privacidad de Datos UE-EE. UU. Los documentos recibidos se guardan en el almacenamiento de la UE; el despacho puede desconectar su número en cualquier momento. |
| Verifacti (Bilbabit, S.L.) — VERI*FACTU | Solo si el despacho activa VERI*FACTU: registro de cada factura emitida en la Agencia Tributaria (datos de la factura y del cliente facturado: nombre, NIF o documento de identidad e importes). | España (infraestructura en el Espacio Económico Europeo). | Datos alojados en el EEE. Actúa como subencargado según su propio contrato de encargo (DPA); las transferencias fuera del EEE, solo a entidades adheridas al Marco de Privacidad de Datos UE-EE. UU. (capítulo V del RGPD). |
| Cloudflare (Cloudflare, Inc.) | Gestión de DNS y protección de la red del dominio. | EE. UU. con red global. | SCC de la UE. |
6. Transferencias internacionales
Algunos proveedores están ubicados fuera del Espacio Económico Europeo (por ejemplo, en Estados Unidos). Dichas transferencias se amparan en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (SCC) y/o en marcos de adecuación reconocidos, con medidas adicionales cuando procede. La base de datos y los documentos del expediente se alojan en la Unión Europea.
7. Tus derechos
Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento prestado, escribiendo a aproba.software@gmail.com, indicando el derecho que deseas ejercer y adjuntando un documento que acredite tu identidad.
Si consideras que el tratamiento no se ajusta a la normativa, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) (C/ Jorge Juan, 6, 28001 Madrid).
Si eres cliente de un despacho que usa Aproba y quieres ejercer tus derechos sobre tu expediente, debes dirigirte a tu despacho (responsable de esos datos); Aproba le trasladará tu solicitud cuando la reciba.
8. Seguridad
Aproba aplica medidas técnicas y organizativas apropiadas: cifrado en tránsito (HTTPS) y en reposo, almacenamiento de documentos en un bucket privado, control de acceso multiusuario con aislamiento por despacho (políticas de seguridad a nivel de fila) y registro de eventos. Ningún sistema es infalible, pero trabajamos para mantener un nivel de protección adecuado al riesgo.
9. Menores
La plataforma se dirige a profesionales. Las cuentas no están destinadas a menores de edad. Los datos de clientes menores que un despacho pueda tramitar se rigen por las instrucciones del despacho y por el DPA.
10. Cambios en esta política
Podemos actualizar esta Política para reflejar cambios legales o del servicio. Publicaremos la versión vigente en esta página e indicaremos la fecha de última actualización.