Política de privacidad

2.1. Responsable del tratamiento

Identidad: Agentia Codex S.L. (sociedad en constitución) (“Agentia”)

NIF: en trámite (sociedad en constitución)

Domicilio: Avda. Teodomiro 30, Entlo 1 — 03300 Orihuela (Alicante), España

Contacto para protección de datos: privacidad@agentiacontable.com

Delegado de Protección de Datos (DPD): no designado a fecha de hoy. Las consultas y el ejercicio de derechos se atienden en el correo anterior. Si se designa, esta política se actualizará con su identidad y su canal de contacto.

2.2. En qué condición actúa Agentia

Agentia trata datos personales en dos condiciones distintas, y esta política se aplica a cada una según se indica:

• Como responsable del tratamiento de los datos de las personas que se relacionan directamente con Agentia: quienes visitan el sitio web, se suscriben al boletín, escriben a Agentia, crean una cuenta o forman parte de una organización de la Plataforma (titulares, administradores, miembros, asesores externos, lectores y clientes del portal), y las personas de contacto y facturación de las organizaciones que contratan un plan. Los apartados 2.3 y 2.4 describen estos tratamientos.
• Como encargada del tratamiento de los datos que cada organización introduce en la Plataforma para llevar su contabilidad, su facturación, su tesorería y sus nóminas (datos de sus clientes, proveedores, empleados y personas de contacto, movimientos bancarios, documentos) y, en el módulo CRM, su gestión comercial (clientes potenciales, contactos, oportunidades; apartado 2.5.1). De esos datos es responsable la organización, y Agentia los trata únicamente por su cuenta y siguiendo sus instrucciones, con arreglo al Contrato de encargo del tratamiento. El apartado 2.5 lo resume. Cuando la organización es un despacho que gestiona a sus clientes, Agentia actúa como subencargada del despacho.

2.3. Datos que tratamos como responsable

2.3.1. Personas usuarias de la Plataforma

• Cuenta: correo electrónico, nombre, contraseña (solo su resumen cifrado, gestionado por el proveedor de autenticación), preferencias (tema, densidad, atajos, avisos por correo), segundo factor de autenticación (TOTP) cuando se activa.
• Pertenencia y rol: organizaciones a las que pertenece, rol en cada una, invitaciones enviadas y aceptadas, estado de aprobación de la cuenta y su origen.
• Aceptaciones y consentimientos: fecha, hora y versión de los Términos y de esta política aceptados y, en la aceptación de los Términos al crear la cuenta, la dirección IP y el agente de usuario del navegador desde el que se aceptaron, que Agentia guarda en su registro de auditoría como prueba de la aceptación; consentimiento para comunicaciones comerciales; preferencias de cookies (en el propio navegador).
• Uso y seguridad: registro de auditoría de las acciones relevantes en la Plataforma (quién hizo qué y cuándo; la dirección IP y el agente de usuario del navegador solo se anotan en la aceptación de los Términos, como se indica arriba; cuando un asistente externo conectado por MCP propone un asiento, se anota con la propuesta el identificador de la aplicación cliente que la envía, su cabecera User-Agent de hasta 120 caracteres, junto a la clave de API usada), los registros del servicio de autenticación, que guarda en la misma base de datos la dirección IP y el agente de usuario de las sesiones y de los accesos, métricas técnicas de las operaciones de IA (unidades consumidas, latencia, coste) y registros técnicos de los proveedores de infraestructura (direcciones IP y peticiones), necesarios para operar y proteger el servicio. La dirección IP de quien intenta pagar por un enlace de pago se usa en el momento, sin guardarse en la base de datos de Agentia, para limitar los intentos repetidos. Al abrir el módulo CRM desde la Plataforma (apartado 2.5.1), la Plataforma anota la entrada en su registro de auditoría y el historial del CRM anota, de cada entrada, el correo, la dirección IP, el rol y el identificador del enlace de entrada. Desde el 1 de octubre de 2026 la Plataforma cuenta además las visitas a cada pantalla de la zona autenticada por organización y día (la ruta de la pantalla sin identificadores y el número de visitas; no se guarda qué persona la visitó), para medir de forma agregada qué partes se usan y cuáles no; el detalle diario se conserva 24 meses y después solo el resumen mensual.
• Claves e integraciones: claves de API (solo su huella), webhooks configurados, tokens de la agenda y secretos del buzón de captura, vinculados a la persona que los crea.
• Comunicaciones con Agentia: los correos que la persona envía a los buzones de contacto, soporte o privacidad.

2.3.2. Contratación y facturación de la suscripción

• Razón social o nombre, NIF, domicilio de facturación y correo de la organización que contrata; identificadores de cliente y de suscripción en Stripe; estado, plan y periodo de la suscripción; facturas emitidas por Agentia.
• Los datos completos del medio de pago (número de la tarjeta, código de seguridad o número de cuenta) los recoge y custodia Stripe en su pasarela; Agentia no los recibe.
• Las notificaciones de Stripe sobre la suscripción (alta, cobro, impago, reembolso) se guardan tal como llegan, para conciliar los cobros y emitir las facturas de Agentia: llevan identificadores e importes y pueden llevar los datos de facturación que se introdujeron en la página de pago de Stripe (nombre o razón social, correo, dirección y NIF, que esa página pide) y, en los reembolsos, el resumen del medio de pago que Stripe incluye en el cargo (tipo, marca, últimos cuatro dígitos y caducidad de la tarjeta, o últimos dígitos y entidad de la cuenta del adeudo SEPA); nunca el número completo ni el código de seguridad. La lista exacta está pendiente de medir en el modo de pruebas de Stripe.

2.3.3. Visitantes del sitio web y suscriptores del boletín

• Medición de audiencia: el sitio público utiliza Plausible Analytics, que no instala cookies ni identificadores y produce estadísticas agregadas (página visitada, origen, país, navegador). Puede desactivarse desde el panel de cookies.
• Boletín: correo electrónico, fecha y versión de la política aceptada, dirección IP y agente de usuario del navegador en el momento de la suscripción (como prueba del consentimiento), confirmación en dos pasos (doble opt-in) y estado de la suscripción.
• Solicitud de acceso anticipado (formulario de la página de inicio): nombre, correo electrónico, programa de contabilidad que utiliza (si lo indica), fecha, y dirección IP y agente de usuario del navegador en el momento del consentimiento. Se usa para avisar del lanzamiento y de sus condiciones; cada solicitud nueva se comunica por correo al buzón comercial de Agentia (si se repite con el mismo correo, se actualizan los datos sin un aviso nuevo).
• Registros técnicos: direcciones IP y peticiones en los registros de los proveedores de alojamiento, con fines de seguridad.

2.3.4. Lo que Agentia no trata como responsable

Agentia no elabora perfiles de las personas usuarias, no utiliza sus datos ni los de las organizaciones para entrenar modelos de inteligencia artificial, no vende ni cede datos a terceros con fines comerciales y no adopta decisiones automatizadas con efectos jurídicos sobre las personas. Las valoraciones comerciales del módulo CRM (apartado 2.5.1) las genera por cuenta de la organización, sobre los clientes potenciales y las oportunidades de esa organización, y solo por decisión suya.

2.4. Finalidades y bases jurídicas

Cuando la base jurídica es el interés legítimo, Agentia ha ponderado que se trata de tratamientos que las personas pueden esperar razonablemente en un servicio profesional, con impacto limitado, y las personas pueden oponerse en cualquier momento (apartado 2.10).

2.5. Datos de las organizaciones: Agentia como encargada

Cada organización decide qué datos introduce en la Plataforma y por qué. Con carácter general, son los necesarios para llevar su contabilidad y cumplir sus obligaciones fiscales, mercantiles y laborales: datos identificativos y de contacto de clientes, proveedores y otros terceros (nombre, NIF, dirección, correo, teléfono, cuenta bancaria), facturas y documentos justificativos, movimientos bancarios y cuentas financieras, vencimientos, cobros y pagos, nóminas importadas y datos de empleados (identificación, IBAN, salario, retenciones, sexo y grupo profesional para el registro retributivo), certificados electrónicos de la organización, personas de contacto y clientes invitados al portal, correos recibidos en el buzón de captura y documentos subidos por la aplicación de captura; y, en el módulo CRM, los datos de su actividad comercial (clientes potenciales, empresas, contactos, oportunidades, actividades, campañas, presupuestos y los correos de los buzones que sus personas usuarias conectan), como describe el apartado 2.5.1.

Para esos datos la organización es la responsable del tratamiento: debe contar con base jurídica, informar a las personas y atender sus derechos. Agentia los trata únicamente para prestar el servicio, siguiendo las instrucciones documentadas de la organización, con las medidas de seguridad del apartado 2.11 y con los proveedores del apartado 2.7 como subencargados. Las condiciones completas (objeto, duración, obligaciones, subencargados, brechas, devolución y supresión) están en el Contrato de encargo del tratamiento. Si usted es cliente, proveedor o empleado de una organización que usa Agentia Contable, diríjase a esa organización para ejercer sus derechos; Agentia le ayudará a atenderlos.

Entre organizaciones de la Plataforma. Cuando dos organizaciones acuerdan un vínculo desde sus paneles (una lo propone y la otra lo acepta), las facturas que la primera emite a la segunda se entregan dentro de la Plataforma a la organización receptora, que las recibe pendientes de contabilizar y decide qué hacer con ellas. Entre un despacho y el cliente cuya contabilidad gestiona en la Plataforma el vínculo nace aceptado y se muestra como tal. Agentia realiza esa entrega por instrucción de ambas organizaciones, como encargada de cada una; ninguna accede a los libros de la otra y cualquiera de las dos puede revocar el vínculo. La factura de la suscripción de Agentia, cuando Agentia la emite, se entrega igualmente a la contabilidad de la organización cliente.

Firma de documentos: cuando una organización envía un documento a firmar, la Plataforma trata por su cuenta los datos de cada firmante que la organización indica (nombre, correo electrónico y, si lo indica, NIF) y, como evidencias de la firma, la fecha y la hora del servidor de cada apertura del enlace, descarga del documento, envío y verificación del código de un solo uso, firma o rechazo, con la dirección IP y el agente de usuario del navegador desde el que se hicieron, la huella criptográfica (SHA-256) del documento y de la firma y lo que el navegador declara al firmar (tamaño de pantalla, idioma y zona horaria). El enlace personal y el código de un solo uso se envían al correo del firmante y la base de datos guarda solo sus huellas. Esas evidencias, y el certificado de firma que la organización puede generar y archivar entre sus documentos, son datos de la organización: siguen sus instrucciones y su plazo de conservación (apartado 2.9), y el firmante ejerce sus derechos ante ella. No es una firma electrónica cualificada ni interviene un prestador de sellado de tiempo.

Acceso de soporte: para atender una consulta de soporte, el propietario o un administrador de una organización puede conceder a Agentia, desde Mi organización › Datos, un acceso de solo lectura a los datos de esa organización durante 24 o 72 horas, y retirarlo en cualquier momento. Mientras dura, la persona operadora de Agentia entra con una pertenencia temporal de lectura, identificada como soporte, que no permite crear, modificar ni borrar nada ni entrar en el módulo CRM de la organización; Agentia trata así los datos únicamente por esa instrucción documentada de la organización y como encargada. Cada concesión, renovación, entrada (con su motivo), salida, retirada y vencimiento queda anotado en el registro de auditoría de la organización, y el acceso termina solo al vencer el plazo. Fuera de ese acceso, el personal de Agentia no entra en la contabilidad de una organización a través de la Plataforma; el acceso técnico a la infraestructura se rige por las medidas del apartado 2.11.

2.5.1. Módulo CRM (Agentia CRM)

Qué es. Agentia CRM es el módulo de gestión comercial de la Plataforma. Lo presta la propia Agentia, con la misma condición de encargada y bajo el mismo Contrato de encargo del tratamiento, en una aplicación aparte servida en crm.agentiacontable.com. Se abre desde el menú de la Plataforma, sin otra cuenta ni otra contraseña.

Datos que trata por cuenta de la organización. Clientes potenciales (leads), empresas, contactos, oportunidades, actividades, campañas y presupuestos que la organización registra, y los correos de los buzones que cada persona usuaria decide conectar (el CRM los lee y los envía con el servidor de correo del propio proveedor de esa persona, bajo el contrato de la organización con él). La finalidad es la gestión comercial de la organización, que es la responsable de esos datos y de informar a las personas de contacto que registra; Agentia los trata por su cuenta, para prestarle el módulo.

Qué viaja entre la Plataforma y el módulo. Ninguna de las dos aplicaciones lee la base de datos de la otra: se comunican con mensajes firmados que llevan, campo a campo, lo siguiente.

• Al abrir el CRM, a petición de la persona usuaria: el nombre, el correo y el identificador de cuenta de la persona, el nombre, el NIF y el identificador de la organización y el rol de la persona, en un enlace firmado que caduca en un minuto y vale una vez.
• Avisos de acceso y de estado, automáticos desde que alguien de la organización ha entrado en su CRM: de cada persona, su identificador de cuenta, si puede entrar y con qué rol; de la organización, su identificador y si está activa, en baja (con la fecha de la baja y la de la supresión prevista) o suprimida.
• La consulta del estado, que el CRM hace cuando alguien entra y una vez al día: el CRM envía el identificador de la organización y los identificadores de cuenta de sus personas usuarias, y la Plataforma responde lo mismo que en los avisos, de cada una de esas personas, más el plan de la organización (su identificador, su nombre y si es Solo CRM) y su saldo de acciones de inteligencia artificial (acciones disponibles, regalo del trimestre, caducidad más próxima, tarifa, bono, si la IA está parada y por qué, y si es ilimitada).
• El consumo de inteligencia artificial, que el CRM comunica a la Plataforma con cada acción: el identificador de la organización, el identificador de cuenta de la persona que la pidió, el de la operación, la función y el modelo usados, los tokens de entrada, de salida y de caché y las unidades consumidas; nunca el contenido. La Plataforma responde con el saldo de acciones.
• «Facturar en Agentia», cuando una persona usuaria lo pulsa sobre una oportunidad ganada: el CRM envía el identificador de la persona y el de la organización, la oportunidad (su identificador, su nombre y el del presupuesto) y, del cliente, el NIF, el nombre, la dirección (calle, código postal, ciudad, provincia y país), el correo y el teléfono, con las líneas del presupuesto (descripción, cantidad, precio, descuento e IVA) y sus notas. La Plataforma prepara con ellos un borrador de factura, da de alta al cliente o completa lo que faltaba del que ya existía, y responde con los identificadores del borrador y del cliente.
• Los hechos de la contabilidad, que la Plataforma comunica automáticamente al CRM desde que alguien de la organización ha entrado en él, para mostrarlos en la ficha de la empresa: de cada tercero que es cliente, al darlo de alta o modificarlo, su identificador, su NIF, su nombre y si es cliente o proveedor, nunca su correo ni su teléfono, y nada de los terceros que solo son proveedores; de los presupuestos aceptados o rechazados, su número, el NIF del cliente, el importe y el estado; de las facturas emitidas, su número, su fecha, el NIF del cliente, el total, el enlace a la factura y la oportunidad del CRM de la que nació; de los cobros por pasarela, el número de la factura, el NIF del cliente, el importe, la fecha y el medio de pago; y de los vencimientos cobrados, devueltos o incobrables, el número de la factura, el NIF del cliente, el importe, la fecha de vencimiento y el estado.

Nunca viajan datos bancarios ni documentos.

Conservación. Los datos del CRM siguen la suerte de la organización: se conservan mientras exista, la baja de la organización en la Plataforma se comunica al CRM, que cierra su acceso con el mismo plazo, y la supresión de los 90 días del apartado 2.9 alcanza a sus datos; el certificado de supresión indica si el CRM confirmó la suya.

Elaboración de perfiles. La puntuación de clientes potenciales (una estimación de 0 a 100 de que un lead se convierta en una oportunidad) y la evaluación de oportunidades (la probabilidad de que se cierren) son valoraciones generadas por un modelo de inteligencia artificial a petición de la organización: una persona usuaria las pide con un botón en la ficha del lead o de la oportunidad, o en lote desde la lista de leads, y ninguna se genera de forma automática ni periódica. Se guardan en la propia ficha con su fecha y su explicación, cada valoración nueva sustituye a la anterior, la persona usuaria puede borrarla desde la ficha sin eliminar el registro y desaparecen al eliminar el registro. No producen decisiones con efectos jurídicos ni afectan significativamente a la persona valorada: orientan a la persona comercial sobre qué atender primero, y ninguna función del CRM concede ni deniega nada por sí sola en función de ellas, por lo que no constituyen una decisión del artículo 22 del RGPD. La organización puede desactivar las funciones de inteligencia artificial de su CRM en cualquier momento desde su configuración, y sin ellas no se genera ninguna valoración. Con clave propia de inteligencia artificial —cuando la organización tiene habilitado ese uso y guarda en su CRM la clave de un proveedor contratado por ella—, el proveedor lo elige la organización, es su encargado y no el de Agentia, y Agentia no interviene en ese tratamiento ni lo consume de su cupo.

Inteligencia artificial. Las funciones de inteligencia artificial del CRM usan el mismo catálogo de proveedores y la misma condición previa que la Plataforma (apartado 2.6 y proveedores de modelos de IA), se identifican como tales en cada pantalla y su consumo se mide en acciones con cargo al cupo de la organización.

2.6. Inteligencia artificial

Algunas funciones de la Plataforma se apoyan en modelos de inteligencia artificial de proveedores externos: la lectura de las facturas que llegan a la Plataforma —se suban a mano, lleguen al buzón de correo de la organización, entren por la aplicación móvil, por el agente de carpeta o por la API— (el documento completo viaja al proveedor); la clasificación de los movimientos bancarios (concepto, detalle e importe); la lectura de extractos bancarios en PDF; el emparejamiento de un cobro o un pago con su factura o su vencimiento (fecha, importe, concepto y, del candidato, nombre y NIF del tercero y número de documento); y el asistente del panel (las preguntas de la persona y los datos contables que las herramientas de lectura consultan para responder). No se envían contraseñas, claves, segundos factores ni certificados. En el modo conversación por voz, lo que la persona dice se convierte en texto con un modelo de reconocimiento de voz (Deepgram Nova-3) y las respuestas se leen con un modelo de síntesis (Deepgram Aura-2), ambos ejecutados en la plataforma Workers AI de Cloudflare (encargada del tratamiento), o, cuando la aplicación no dispone de ellos, con el reconocimiento y la síntesis del propio navegador de la persona; el modelo de inteligencia artificial recibe solo el texto, como en el chat; la transcripción literal de cada turno queda en la conversación del asistente, como evidencia de lo que se decidió, y el audio no se conserva. La persona acepta este tratamiento antes de su primera conversación y el asistente se presenta como inteligencia artificial al empezar cada una.

Los proveedores actúan como subencargados de Agentia, bajo contrato de encargo, no utilizan los datos para entrenar sus modelos, los conservan durante un plazo limitado para la detección de abusos y los eliminan después. La lista de proveedores con los que Agentia mantiene relación contractual o prevista, su ubicación y sus garantías se publican en la página de proveedores de modelos de IA, que Agentia mantiene actualizada; cualquier alta o baja se comunica con al menos 7 días naturales de antelación, con un aviso en la Plataforma a quien administra cada organización (y por correo a quien lo tenga activado) que enlaza a Mi organización › Proveedores de IA, y hasta esa fecha el proveedor nuevo no recibe ningún dato. Agentia exige a cada proveedor de esa lista, como condición de admisión al catálogo y antes de dirigirle la primera operación, que estén firmados o aceptados su contrato de encargo del tratamiento y las garantías de transferencia internacional que correspondan; el estado de cada proveedor consta en un registro interno de comprobaciones. Cuál de ellos interviene en cada operación responde a criterios técnicos y no se publica; la organización que lo solicite puede pedir a Agentia esa información, que Agentia facilitará en un plazo de diez días hábiles y con deber de confidencialidad.

Sin decisiones automatizadas. Las propuestas de la IA se identifican con un aviso de asistencia por inteligencia artificial y con su nivel de confianza, y nunca producen efectos contables ni fiscales sin la confirmación de una persona: la IA propone y la persona decide. Las puntuaciones de clientes potenciales y las evaluaciones de oportunidades del módulo CRM (apartado 2.5.1) son valoraciones que la organización pide y que solo orientan a sus personas comerciales; no producen efectos jurídicos ni afectan significativamente a la persona valorada. No existe ningún tratamiento del artículo 22 del RGPD.

Transparencia (Reglamento (UE) 2024/1689, artículo 50). Las superficies de la Plataforma en las que interviene la IA muestran el aviso de asistencia por inteligencia artificial y el asistente del panel se identifica como tal. La autoridad de supervisión en España es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA).

2.7. Destinatarios de los datos y encargados

Agentia no cede datos personales a terceros salvo obligación legal o requerimiento de una autoridad competente (por ejemplo, la Agencia Tributaria o un juzgado). Los registros de facturación Verifactu se remiten a la AEAT por cuenta y con el certificado de la organización que los emite, en cumplimiento de la obligación legal de esa organización. Cuando una organización configura webhooks, claves de API o clientes MCP, los datos viajan a los destinos que la organización elige y bajo su responsabilidad. La entrega de facturas entre organizaciones vinculadas (apartado 2.5) ocurre dentro de la Plataforma y no supone una cesión a terceros ajenos a ella.

Para prestar el servicio, Agentia utiliza los siguientes proveedores, que actúan como encargados del tratamiento (o subencargados respecto de los datos de las organizaciones) con contrato de encargo conforme al artículo 28 del RGPD:

Proveedores previstos y no activos. La Plataforma tiene construida una conexión bancaria PSD2 (acceso de solo lectura a los movimientos de una cuenta con la autorización de su titular en su banco) que hoy no está activa. El proveedor elegido es Afterbanks Arcopay (Minsait Payments, S.A., grupo Indra; entidad de pago regulada por el Banco de España; agregación PSD2, con servidores en la Unión Europea), que no ha recibido dato alguno hasta que se valide la integración con una cuenta real y se firme con él el contrato de encargo: el conector está escrito contra su API pero no hay contrato ni licencia. El conector anterior, escrito contra el servicio de datos bancarios de GoCardless, queda retirado y sin uso (no hay contrato con él ni ha recibido dato alguno). Antes de activar la conexión, Agentia añadirá aquí al proveedor como encargado con al menos 7 días de antelación. La Plataforma tiene construido también el cobro de facturas con la cuenta de Stripe de cada organización (Stripe Connect), que hoy no está activo: cuando se active, Agentia tratará por cuenta de la organización que cobra los datos de quien paga que Stripe incluye en sus notificaciones (como mínimo, nombre, correo y tipo de medio de pago) y los suprimirá con el resto de datos de esa organización. Del mismo modo, cualquier proveedor de modelos de IA distinto de los publicados en /proveedores-ia se anunciará antes de tratar ningún dato.

2.8. Transferencias internacionales

Los datos se alojan en la Unión Europea. Algunos proveedores —los de modelos de IA que no tratan en la Unión Europea, Resend, Cloudflare, el grupo Stripe y el soporte técnico de Supabase— tratan datos desde Estados Unidos o desde otros países. Esas transferencias se amparan en:

• Las Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, incorporadas al contrato de encargo de cada proveedor.
• La Decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. (10 de julio de 2023), respecto de los proveedores que figuran en su lista oficial de adhesión.
• Una evaluación de impacto de la transferencia por proveedor, que forma parte del expediente de protección de datos de Agentia y se facilita a las organizaciones que la soliciten.

2.9. Plazos de conservación

2.10. Derechos de las personas

Cualquier persona puede ejercer los derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, y retirar el consentimiento en cualquier momento sin que ello afecte a la licitud del tratamiento anterior. Para ejercerlos, escriba a privacidad@agentiacontable.com desde el correo de su cuenta o adjuntando un documento que acredite su identidad, o por correo postal al domicilio del responsable. Agentia responde en el plazo máximo de un mes, prorrogable dos meses más en casos complejos, informando de ello.

Desde la propia Plataforma, cada persona puede descargar sus datos personales en formato estructurado y solicitar la eliminación de su cuenta (Mi cuenta › Datos y privacidad), gestionar sus preferencias de avisos por correo y darse de baja del boletín desde cualquiera de sus envíos.

Si el tratamiento lo realiza Agentia como encargada por cuenta de una organización (apartado 2.5), la solicitud se trasladará a esa organización, que es quien debe resolverla, y Agentia le prestará la asistencia necesaria.

Reclamación: si considera que sus derechos no se han atendido correctamente, puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es), sin perjuicio de dirigirse antes a Agentia.

2.11. Medidas de seguridad

Agentia aplica las medidas técnicas y organizativas que describe el anexo de seguridad del Contrato de encargo del tratamiento. Entre ellas:

• Cifrado de los datos en tránsito (TLS) y en reposo en la base de datos y en el almacenamiento de ficheros.
• Aislamiento de los datos de cada organización en la propia base de datos (políticas de seguridad por fila activadas y forzadas en todas las tablas que contienen datos de organizaciones), de modo que ninguna consulta puede cruzar organizaciones.
• Control de acceso por roles y verificación en dos pasos, obligatoria para las personas titulares de organizaciones compartidas; caducidad de la sesión por inactividad.
• Custodia cifrada de los certificados electrónicos (AES-256-GCM) con una clave que no sale del servidor.
• Registro de auditoría de los cambios relevantes y borrado lógico previo a cualquier supresión definitiva.
• Cabeceras de seguridad del navegador (política de seguridad de contenidos en modo de bloqueo, entre otras) y cookies de sesión seguras.
• Límites de uso en las operaciones de IA y en los puntos de acceso sensibles; claves de API almacenadas solo como huella.
• Copias de seguridad de la base de datos gestionadas por el proveedor de infraestructura.
• Secretos de los proveedores solo en el servidor; auditorías de seguridad periódicas y corrección de sus hallazgos.
• Procedimiento de gestión de violaciones de seguridad, con notificación a la AEPD en 72 horas cuando proceda y comunicación a las organizaciones afectadas sin dilación indebida.

2.12. Menores de edad

La Plataforma se dirige a empresas y profesionales. No se recogen intencionadamente datos de menores de 18 años; si se detectara una cuenta de un menor, se suprimirían sus datos.

2.13. Versiones y modificación

Esta política lleva un número de versión y una fecha, que son los que se registran en cada consentimiento. Agentia puede modificarla para adaptarla a cambios normativos o del servicio; los cambios sustanciales se comunican a las personas usuarias con antelación razonable y, cuando la ley lo exija, se solicita un nuevo consentimiento. La versión vigente está siempre en agentiacontable.com/privacidad y las anteriores se facilitan a quien las solicite.