Política de privacidad de Bivoll El Salvador
Borrador del 18-10-2026, pendiente de revisión por abogado. Se publica en la web del servicio cuando no quede ningún hueco por confirmar.
Versión: borrador del 18-10-2026. Última actualización: pendiente
Quiénes somos
Bivoll Analítica, S.L.U., NIF B75938811. Domicilio: Avenida Cesáreo Alierta 23, planta 1, oficina 104, 50008 Zaragoza (España). Registro Mercantil de Zaragoza, hoja Z-75593, inscripción 1.ª. Contacto de privacidad: hola@bivoll.com.
Dos papeles distintos
Bivoll El Salvador lo contratan despachos contables y también empresas que lo usan para sus propios datos. Donde este texto dice «despacho», vale también para esa empresa.
Datos de las facturas y de la contabilidad que sube su despacho o su empresa. Quien decide para qué se usan es el despacho o la empresa: es el responsable. Bivoll los trata por su cuenta, como encargado, solo para calcular sus informes, según el contrato de encargo que firman. Si el despacho o la empresa lo activa, los indicadores anuales de sus empresas (porcentajes y días, nunca importes, nombres ni NIT) entran también, de forma anónima, en la comparativa sectorial que ven los participantes. Las facturas, solo cuando se active el módulo de facturas electrónicas, que llega más adelante (condiciones de uso, cláusula 5.9): hasta entonces Bivoll no recibe ni guarda ninguna. Si sus datos aparecen en las facturas de un cliente nuestro, diríjase a ese despacho o empresa para ejercer sus derechos. Si nos escribe a nosotros, le pasaremos su petición en 5 días hábiles.
Datos de su cuenta de usuario (su correo y sus accesos), de la aceptación del contrato (quién aceptó y quién firma en nombre del despacho) y de la relación comercial con su despacho. El responsable somos nosotros. Este texto explica ese tratamiento.
La demostración no es el servicio
La demostración de Bivoll El Salvador (un entorno de GitHub Codespaces que se monta con datos inventados) no es el servicio: no tiene sus medidas de seguridad, no está cubierta por el contrato de encargo y la presta GitHub con sus propias condiciones. Nunca suba a ella facturas, contabilidad ni ningún otro dato real.
Qué datos tratamos de usted
Como usuario:
- Correo y rol en el despacho, para darle acceso.
- Contraseña. Nunca la guardamos, solo un resumen irreversible (Argon2id).
- Secreto del doble factor, cifrado.
- Llaves de acceso (huella o cara), si añade alguna: la clave pública de cada una (la privada no sale de su aparato, y ni su huella ni su cara llegan nunca a Bivoll), el navegador y el sistema en grueso desde los que la añadió («Chrome en Windows»), si se copia a sus otros aparatos y cuándo la usó por última vez.
- Dispositivos recordados, si marca «Recordar este dispositivo 30 días»: un resumen irreversible del código que guarda su navegador, el navegador y el sistema en grueso y las fechas.
- Sesiones abiertas: un resumen del token, el dispositivo en grueso («Chrome en Windows») y el último uso, para enseñárselas en «Mi seguridad» y cerrarlas.
- Registro de accesos: fecha y resultado de cada intento, sin contraseña ni código, y cómo pasó el segundo paso (código, llave o dispositivo recordado); también cuándo añade o quita una llave o recuerda u olvida un dispositivo. En las entradas correctas, también el navegador y el sistema en grueso («Chrome en Windows»: sin versiones ni IP), para enseñarle sus sesiones en «Mi seguridad» y avisarle por correo si se entra en su cuenta desde un dispositivo nuevo.
- Avisos de seguridad que le enviamos por correo (dispositivo nuevo, cuenta bloqueada, contraseña acertada con el código mal, contraseña cambiada, llave nueva): qué aviso, cuándo y, si lo hay, el dispositivo en grueso («Chrome en Windows»), 30 días.
- Dirección IP, en los registros del servidor, para frenar ataques.
- Correo del invitado, cuando un administrador invita a alguien.
Si acepta el contrato en nombre de su despacho: su correo, la IP y el dispositivo en grueso desde los que aceptó, la fecha y la hora, y el texto exacto aceptado. Le enviamos un correo de confirmación con las versiones aceptadas.
Si figura como firmante del despacho: su nombre y su cargo, tal como los escribe en la aceptación el administrador que acepta. Si el firmante no es quien acepta, esos datos nos los da el administrador del despacho, que se compromete a informarle de esta política.
Si es la persona de contacto o de facturación de su despacho: nombre, cargo, correo y teléfono, y los datos de facturación del despacho.
Si su despacho le ha puesto como contacto de recuperación: solo su correo. Lo da un administrador al aceptar el contrato, o nos lo pide por escrito, y es opcional. Le escribimos solo para comprobar una petición de acceso cuando ningún administrador de su despacho puede actuar y para repetirle un aviso importante que no llegó a los administradores (condiciones de uso, cláusulas 10.2 y 34.1).
No usamos cookies de publicidad ni de analítica. Solo hay una cookie técnica, __Host-bivoll_sesion, que mantiene la sesión abierta durante 4 horas como máximo (y se cierra antes si pasan 30 minutos sin usarla). Al cerrar sesión pedimos al navegador que borre lo que haya guardado de Bivoll. Es imprescindible para el servicio y no necesita consentimiento. Si marca «Recordar este dispositivo 30 días», hay otra cookie técnica, __Host-bivoll_dispositivo, que dura 30 días y solo sirve para no pedirle el código en ese navegador: la pide usted al marcarla y la puede borrar en «Mi seguridad».
Para qué y con qué base
| Para qué | Base |
|---|---|
| Darle acceso seguro al servicio que contrató su despacho | Nuestro interés legítimo en dar acceso seguro a las personas que designa su despacho (RGPD art. 6.1.f) |
| Proteger el servicio y detectar abusos | Nuestro interés legítimo en la seguridad (art. 6.1.f) |
| Probar quién aceptó el contrato, en nombre de qué despacho y quién lo firma, y confirmárselo por correo | Nuestro interés legítimo en probar la relación con el despacho (art. 6.1.f y art. 19 de la Ley Orgánica 3/2018, para los datos de quien representa a una empresa) |
| Gestionar el contrato con su despacho, facturar, cobrar y avisarle de cambios en los textos y en los subencargados | La ejecución del contrato con su despacho y nuestro interés legítimo en mantener el contacto con quien lo representa (art. 6.1.b y 6.1.f) |
| Cumplir obligaciones legales | Obligación legal (art. 6.1.c) |
Puede oponerse al tratamiento basado en el interés legítimo escribiéndonos. Sin cuenta, no podrá usar el servicio.
Cuánto tiempo
| Dato | Plazo |
|---|---|
| Cuenta de usuario (correo, contraseña, doble factor) | Mientras esté activa. Se borra 90 días después de que su despacho la desactive. |
| Sesiones | Hasta que caducan (4 horas como máximo); se borran al día siguiente |
| Llaves de acceso | Hasta que las quite. Se borran también al dar de baja su cuenta, con un acceso nuevo y al cambiar su correo |
| Dispositivos recordados | 30 días como máximo. Se borran antes si los olvida, al cambiar la contraseña, con un acceso nuevo y al dar de baja o suspender su cuenta |
| Registro de accesos | 12 meses |
| Avisos de seguridad por correo | 30 días |
| Dirección IP en los registros del servidor | 30 días |
| Invitaciones | 30 días después de aceptarse o caducar |
| Registro de acciones (qué subió o confirmó cada usuario, con su correo) | 5 años, aunque su cuenta se borre antes: es un registro encadenado y no se puede cambiar un apunte sin romperlo. Lo conservamos por instrucción de su despacho (contrato de encargo, cláusula 4.5) |
| Su correo como autor de una carga, una revisión del catálogo o un presupuesto | Mientras exista su cuenta. Al borrarla se sustituye por un seudónimo («baja-…»), el mismo en todo, para que el despacho sepa que fue una misma persona sin saber quién |
| Registro de supresiones (fuera de la base de datos): solo el identificador de su cuenta y la fecha de su baja, de su cambio de acceso o de que quitó una llave | En el servidor, mientras dure el servicio; en el almacenamiento de las copias, 35 días. Sirve para que una copia restaurada no le devuelva un acceso que ya no tiene |
| Aceptación del contrato y las condiciones: correo de quien acepta, nombre y cargo del firmante, IP y dispositivo en grueso, fecha y texto exacto aceptado | Mientras exista el despacho y, tras su baja, 10 años fuera del servicio y cifrado: es la prueba de quién aceptó qué (LPC, art. 21-B) pendiente |
| Avisos que le enviamos como administrador o contacto de recuperación (texto, fecha, a quién y si llegó) | Mientras exista el despacho: son la prueba de que avisamos (condiciones de uso, cláusula 34.4) |
| Contacto de recuperación (correo) | Mientras exista el despacho o hasta que su despacho lo cambie o lo quite |
| Datos de contacto y de facturación del despacho | Mientras dure el contrato y después 6 años (Código de Comercio, art. 30), o lo que exijan los plazos fiscales |
| Copias de seguridad | Diarias, 35 días; mensuales, 12 meses. Cifradas. Si hubiera que restaurar una, se vuelven a aplicar las bajas y los cambios de seguridad posteriores; si su acceso o su contraseña cambiaron después de la copia, su cuenta queda de baja hasta que reciba un acceso nuevo |
Quién más los ve
- El administrador de su despacho ve quién tiene cuenta y el registro de accesos y de acciones de los usuarios del despacho, y puede descargarlo con los demás datos del despacho.
- Sinnvoll Analítica Empresarial, S.L.U. (España), empresa de nuestro grupo, es titular de la cuenta de Hostinger en la que contratamos el servidor. No accede a los datos; lo regula un contrato de encargo con nosotros.
- Nuestro proveedor de alojamiento, Hostinger International Ltd, con el servidor en Alemania.
- Nuestro proveedor de almacenamiento de las copias de seguridad, que las guarda cifradas en otro país de la Unión Europea pendiente.
- Nuestro proveedor de correo, solo para mandar invitaciones, avisos y confirmaciones pendiente.
- Nuestro proveedor de pagos, Stripe, que trata los datos de facturación y de las tarjetas con sus propias garantías para las transferencias fuera de la UE pendiente.
- Para la facturación: nuestra asesoría contable, los bancos y la Administración tributaria, solo con los datos de facturación del despacho.
Nadie más, salvo obligación legal. No vendemos datos ni los usamos para entrenar modelos de inteligencia artificial.
Dónde están
Los datos y las copias de seguridad se alojan en la Unión Europea. Ver sus propios datos desde El Salvador no es una transferencia. Los datos de las facturas que su despacho descarga van a El Salvador amparados en las cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914, módulo 4), firmadas con su despacho.
Cuando el administrador de su despacho, desde El Salvador, ve o descarga el registro de accesos y de acciones de los usuarios, le comunicamos datos de los que somos responsables. pendiente
Sus derechos
Puede pedir acceso, rectificación, supresión, oposición, limitación y portabilidad de sus datos escribiendo a hola@bivoll.com. Le contestaremos en un mes como máximo.
Rectificación. Si su correo está mal o cambia, lo corregimos a petición suya o del administrador de su despacho, después de comprobar que la petición viene de la propia cuenta o de ese administrador. El cambio queda en el registro de acciones; lo ya apuntado en ese registro no se modifica. Los datos de la aceptación del contrato no se cambian, porque son la prueba de lo que se aceptó: si alguno está mal, se anota la corrección aparte. Los datos de las facturas y de la contabilidad, y los de las empresas clientes, solo los corregimos por instrucción de su despacho (contrato de encargo, cláusula 9.1).
Si no queda satisfecho, puede reclamar:
- ante la Agencia Española de Protección de Datos (www.aepd.es);
- en El Salvador, ante la Agencia de Ciberseguridad del Estado.
Contactos comerciales
No enviamos comunicaciones comerciales por correo electrónico ni por otros medios electrónicos equivalentes, como los mensajes de LinkedIn, a quien no las haya pedido o autorizado antes de forma expresa (LSSI, art. 21). Solo se exceptúan los clientes, para servicios parecidos a los que ya tienen contratados. Si nos pide información o nos autoriza a escribirle, usamos sus datos de contacto profesional (nombre, cargo, empresa y correo o perfil profesional) con su consentimiento. Cada mensaje dice quiénes somos y cómo no recibir más. Si nos dice que no, o retira su autorización, dejamos de escribirle. Si no responde, borramos sus datos a los 2 años.
Seguridad
Aplicamos, entre otras, estas medidas:
- aislamiento de los datos de cada despacho en la propia base de datos;
- doble factor obligatorio (código o llave de acceso);
- cifrado;
- copias de seguridad cifradas;
- pruebas de seguridad en cada cambio y revisiones internas de seguridad.
Si una brecha supone un alto riesgo para usted, se lo diremos sin dilación.
Cambios en esta política
Si cambia algo importante, lo avisamos por correo a los administradores de los despachos con 30 días de antelación y publicamos aquí la versión nueva con su fecha.