Politica de privacidad

1. Responsable del tratamiento

Fraxuo Dev SL(en adelante, "Fraxuo"), con domicilio fiscal en Asturias, Espana, es responsable del tratamiento de tus datos personales como proveedor del SaaS Ofelia ERP.

Contacto del Delegado de Proteccion de Datos: privacidad@fraxuo.com.

2. Datos que tratamos

Para prestar el servicio Ofelia ERP, tratamos:

• Identidad y contacto: nombre, email, NIF/DNI cuando aplique, telefono opcional.
• Datos laborales (si eres empleado): fichajes, ausencias, turnos, tipo de contrato, salario.
• Datos financieros: facturas emitidas/recibidas por la organizacion, gastos asociados.
• Conversaciones con Ofelia IA: historial textual y metadatos. Se anonimizan automaticamente tras 90 dias.
• Audit trail: acciones ejecutadas en el producto. Conservacion obligatoria por ley fiscal/laboral.
• Datos tecnicos: IP de origen, user agent, logs de acceso para seguridad y deteccion de abuso.

3. Bases legales

• Ejecucion del contrato (Art. 6.1.b RGPD): para prestar el SaaS contratado por tu organizacion.
• Obligaciones legales (Art. 6.1.c RGPD): nominas, registro jornada (RDL 8/2019), VeriFactu cuando aplique, obligaciones fiscales.
• Interes legitimo (Art. 6.1.f RGPD): seguridad de la plataforma, prevencion de fraude, mejora del producto agregando datos.
• Consentimiento (Art. 6.1.a RGPD): cookies no esenciales, comunicaciones comerciales (siempre opt-in explicito).

4. Tus derechos GDPR

Puedes ejercer en cualquier momento los derechos de acceso, rectificacion, supresion, oposicion, limitacion y portabilidad. Las herramientas estan integradas en el producto (seccion Privacidad tras login) o escribiendo a privacidad@fraxuo.com.

Si crees que no tratamos tus datos correctamente, puedes presentar reclamacion ante la Agencia Espanola de Proteccion de Datos.

5. Encargados de tratamiento (subprocesadores)

Los datos se procesan en servidores de la UE (Espana / Alemania / Irlanda). Nuestros encargados de tratamiento son:

• Supabase (base de datos + autenticacion, region EU-West-1).
• Hostinger (hosting del front-end, Lituania/UE).
• Anthropic / Google Gemini (Ofelia IA, solo el texto de tus consultas — no se incluyen datos sensibles del equipo).
• Resend (envio de emails transaccionales).
• Sentry (deteccion de errores, sin payloads de usuario en produccion).
• Upstash (rate limiting distribuido, sin datos personales).

Todos los encargados estan vinculados por contratos de tratamiento de datos (DPA) y cumplen el RGPD.

6. Conservacion de datos

• Datos de cuenta: mientras mantengas el contrato y hasta que solicites borrado.
• Nominas, contratos y registro de jornada: 4 anos (Estatuto de los Trabajadores).
• Facturas y libros contables: 6 anos (Codigo de Comercio).
• Logs de acceso y audit trail: 1 ano rolling.

7. Cambios a esta politica

Notificaremos por email cualquier cambio sustancial con al menos 30 dias de antelacion. Los cambios menores (correcciones tipograficas, aclaraciones) entran en vigor inmediatamente con actualizacion del campo Ultima actualizacion.