Política de privacidad

1. Quién es el responsable

Responsable: Juan Sánchez Benítez (persona física), con NIF [NIF] y domicilio en Barcelona, España (calle y código postal).

Contacto para privacidad: privacidad@bruc.app.

Cuando una empresa usa BrucTicket para los gastos de su equipo, esa empresa decide qué se imputa y a quién; nosotros tratamos esos datos por su cuenta, como encargados, para prestarle el servicio.

2. Qué datos tratamos

• Tu cuenta: correo, nombre y contraseña. La contraseña nunca se guarda tal cual: guardamos su huella cifrada (bcrypt), que no permite recuperarla. Si entras con Apple o con Google, guardamos el identificador que te asignan y el correo verificado que comparten; no accedemos a tu correo, tus archivos ni tus contactos.
• Tus gastos: fecha, importe, moneda, proveedor, concepto, notas, cliente, tipo de gasto, kilómetros y estado de envío.
• Fotos y PDF de tickets: las imágenes y documentos que subes como justificante, y lo que la IA ha leído de ellos. Las fotos se guardan reducidas (1.600 px como mucho) y sin sus metadatos (por ejemplo, la ubicación).
• Tu configuración: clientes (nombre, dirección para los kilómetros y referencia en tu sistema), tipos de gasto, botones rápidos, tarifas, plantillas de Excel que subes, informes generados y automatizaciones.
• Agentes y destinos: nombre y versión de cada agente, la huella de su clave de acceso (no la clave), los conectores que declara y la fecha de su última señal; y las opciones de cada destino que pones en la app. Las contraseñas, claves y rutas de tus sistemas internos no llegan a la app: viven solo en la configuración del agente, en tu equipo.
• Plan: tu plan y las fechas del mes de Pro gratis de la beta. De momento no cobramos ni guardamos datos de pago. Cuando haya planes de pago, los cobrará Stripe (que recogerá la dirección de facturación y los datos de la tarjeta, que nosotros no vemos) y actualizaremos esta política antes de que se puedan contratar.
• Equipos: si invitas a alguien, su correo y el estado de la invitación (caduca a los 7 días). Dentro de un equipo, quien lleva la cuenta ve los gastos de todas las personas; cada persona ve los suyos.
• Preferencias de correo: si quieres o no el recordatorio de cierre de mes y los avisos de la cuenta, y qué correos de aviso te hemos enviado ya (para no repetirlos).
• Consumo: cuántas lecturas con IA, informes y ajustes de plantilla has usado cada mes, y su coste técnico estimado, para aplicar los límites del plan.
• Seguridad y funcionamiento: durante un tiempo limitado contamos los intentos de entrar, registrarse y emparejar agentes por dirección IP o correo, para frenar abusos. Nuestro proveedor de alojamiento registra datos técnicos de cada petición (IP, fecha, ruta, navegador).

No tratamos categorías especiales de datos. Si un ticket contiene datos de otras personas (por ejemplo, el nombre de un comensal), trátalo con el mismo cuidado que en papel.

3. Para qué y con qué base legal

• Prestarte el servicio (cuenta, gastos, lectura de tickets, informes, envíos a tus sistemas): ejecución del contrato que aceptas al registrarte.
• Cobrar y facturar los planes de pago, cuando existan (hoy no se cobra): ejecución del contrato y cumplimiento de obligaciones fiscales.
• Enviarte correos del servicio (confirmar el correo, recuperar el acceso, invitaciones, avisos de la cuenta como el de llegar al límite del plan, y el recordatorio de cierre de mes): ejecución del contrato. Los avisos y el recordatorio se pueden quitar desde el enlace del propio correo o en Ajustes → Tu cuenta.
• Proteger el servicio frente a abusos y mantenerlo disponible: interés legítimo.
• Responder a lo que nos escribas: tu solicitud.

No usamos tus datos para publicidad ni para hacer perfiles, y no los vendemos ni los cedemos a nadie con fines comerciales.

4. Cómo trata la IA las fotos de tus tickets

Cuando haces una foto o subes un ticket, la imagen se envía a un modelo de inteligencia artificial para leer el proveedor, la fecha, el importe y el tipo de gasto. Al aprender una plantilla de Excel, se le envía un resumen de esa hoja y lo que escribes sobre cómo la quieres. El acceso a los modelos se hace a través de Vercel AI Gateway; hoy el modelo es de Anthropic.

• Solo se envía lo necesario para esa lectura, y solo cuando tú lo pides.
• No usamos tus tickets ni tus plantillas para entrenar modelos de IA, y los contratamos en condiciones de uso profesional, que no lo permiten.
• La lectura es una propuesta: tú ves lo que ha leído y lo puedes corregir. La IA no toma decisiones con efectos jurídicos sobre ti.
• Generar un informe con una plantilla ya aprendida no usa la IA.

5. Con quién compartimos datos (encargados)

Solo con proveedores que necesitamos para prestar el servicio, con contrato de encargo de tratamiento y solo para eso:

Algunos de estos proveedores tratan datos fuera del Espacio Económico Europeo. Esas transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. y, cuando hace falta, en las cláusulas contractuales tipo de la Comisión Europea.

Además, tu agente envía los gastos a los sistemas que tú configures (tu ERP, una carpeta, un webhook…). Esos destinos los eliges y los controlas tú.

6. Cuánto tiempo guardamos los datos

• Cuenta, gastos, tickets y configuración: mientras tengas la cuenta. Si la borras, se eliminan de la base de datos y del almacén de archivos en ese momento; las copias de seguridad del proveedor caducan solas en un plazo máximo de 30 días.
• Facturas y datos de pago: el tiempo que exige la ley (en España, seis años para la documentación contable).
• Contadores de intentos: el tiempo de la ventana de protección (como mucho, una hora); se borran a diario.
• Registros técnicos del alojamiento: unos días.
• Correos que nos envíes: el tiempo necesario para atenderte.

7. Lo que se guarda en tu navegador o en tu móvil

Una cookie técnica con tu sesión, para no pedirte la contraseña cada vez (dura 60 días o hasta que cierres sesión). Para que la app abra rápido y funcione sin cobertura, guarda también en tu dispositivo una copia de la pantalla de inicio, los tickets pendientes de subir y los archivos de la propia app. No hay cookies de publicidad ni de análisis. Más detalle en la política de cookies.

Las apps de iPhone y Android usan la cámara y las fotos solo cuando tú eliges hacer o elegir la foto de un ticket. No acceden a tu ubicación, tus contactos ni el micrófono.

8. Tus derechos

Puedes pedir acceso a tus datos, rectificarlos, suprimirlos, oponerte o limitar su tratamiento, y llevártelos en un formato de uso común (portabilidad). Escríbenos a privacidad@bruc.app desde el correo de tu cuenta; te responderemos en un mes como máximo. Para llevártelos tú mismo, en Ajustes → Tu cuenta → «Exportar mis datos» descargas un ZIP con tus datos y tus tickets.

Si crees que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

9. Borrar la cuenta

Desde la app: Ajustes → Tu cuenta → Borrar la cuenta. O escríbenos a privacidad@bruc.app. Se borran tu cuenta, tus gastos, tus tickets, tus plantillas y la conexión de tus agentes, y se cancela tu suscripción si la tienes. Los pasos, en eliminar la cuenta.

10. Seguridad

Todas las conexiones van cifradas (HTTPS). Las contraseñas se guardan con bcrypt y las claves de los agentes, solo como huella. Cada cuenta solo ve sus propios datos, y los archivos que pide un agente solo se le entregan si son de un envío que tiene asignado en ese momento.

11. Menores

BrucTicket es una herramienta profesional y no está dirigida a menores de 18 años.

12. Cambios

Si cambiamos algo importante de esta política, te avisaremos por correo o en la app antes de que se aplique.