Política de privacidad

Esta política explica cómo se tratan los datos personales en el sitio web firmatia.es, en el entorno de pruebas sandbox.firmatia.es y en el servicio de firma electrónica Firmatia, de acuerdo con el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).

Hay tres situaciones distintas y conviene distinguirlas: (1) quien visita la web o rellena el formulario de contacto; (2) quien es cliente y usa el panel o la API; (3) quien recibe un documento para firmarlo. En las dos primeras Firmatia es el responsable del tratamiento. En la tercera, el responsable es el cliente que envía el documento y Firmatia actúa como encargado por su cuenta (apartado 5), con la excepción concreta que se indica allí.

1. Responsable del tratamiento

Responsable: Álvaro Martín Benito (nombre comercial: Firmatia)
NIF: 50213704N
Domicilio: Avenida M-40, 23, 28925 Alcorcón (Madrid), España
Correo para asuntos de protección de datos: privacidad@firmatia.es

2. Visitantes de la web y formulario de contacto

Datos tratados. Los que usted facilita en el formulario (nombre, empresa, correo electrónico, teléfono, volumen estimado, interés y mensaje) y los datos técnicos del envío (fecha y hora, dirección IP y navegador), que se registran como prueba del envío y para prevenir abusos. Junto con la solicitud se guarda la versión de esta política vigente en ese momento.

Finalidad. Atender su solicitud, responder a sus preguntas y, si lo pide, darle acceso al servicio o al entorno de pruebas. No se le enviarán comunicaciones comerciales no solicitadas.

Base jurídica. Su consentimiento al enviar el formulario (art. 6.1.a RGPD) y, cuando la solicitud se refiere a la contratación del servicio, la aplicación de medidas precontractuales (art. 6.1.b RGPD).

Conservación. Doce meses desde el último contacto si no llega a formalizarse una relación contractual. Si se formaliza, los datos pasan a tratarse conforme al apartado 3.

La navegación por la web no requiere facilitar datos personales. Los registros técnicos del servidor (dirección IP, páginas solicitadas, fecha y hora) se conservan durante un máximo de doce meses con la finalidad de garantizar la seguridad del servicio, sobre la base del interés legítimo del responsable (art. 6.1.f RGPD).

3. Clientes y usuarios del panel y de la API

Datos tratados. Datos identificativos y de contacto de la empresa cliente y de las personas que utilizan el panel (nombre, correo electrónico, cargo), credenciales de acceso, tokens de API, datos de contratación y facturación (bonos de firmas adquiridos o concedidos, su consumo y su caducidad, referencias de factura y solicitudes de bono realizadas desde el panel, con el nombre de la persona que las realiza), avisos enviados sobre el saldo y la caducidad de los bonos, y registros de actividad (fecha, hora, dirección IP y acción realizada).

Finalidad. Prestar el servicio contratado, gestionar las cuentas y sus accesos, llevar el saldo de firmas de cada empresa y avisar cuando se agota o caduca, facturar, atender el soporte y mantener la seguridad y la trazabilidad del servicio.

Base jurídica. Respecto de la empresa cliente, la ejecución del contrato (art. 6.1.b RGPD); si el cliente es un profesional o empresario individual, el contrato es con él y la base es la misma. Respecto de la persona que contrata en nombre de una empresa y de las demás personas a las que el cliente da acceso al panel (representantes, empleados o colaboradores), el interés legítimo de Firmatia y del cliente en celebrar y ejecutar ese contrato y en gestionar los accesos (art. 6.1.f RGPD y art. 19 LOPDGDD para los datos de contacto profesionales): tratamos únicamente los datos necesarios para identificarles y registrar su actividad. La facturación y la conservación de la documentación contractual responden a obligaciones legales, en particular fiscales y contables (art. 6.1.c RGPD). La seguridad y la trazabilidad del servicio se basan en el interés legítimo de Firmatia (art. 6.1.f RGPD).

Conservación. Durante la vigencia del contrato. Tras la baja se distinguen tres grupos:

Los documentos firmados y sus evidencias siguen el apartado 5.
La documentación contractual y de facturación (contrato, facturas, bonos y sus movimientos) se bloquea y se conserva seis años desde el último asiento contable o factura relacionados con el cliente, por la obligación mercantil de conservar la documentación del negocio (art. 30 del Código de Comercio) y las obligaciones fiscales, y después se elimina. El registro seudonimizado de los sobres descrito en el apartado 5 se conserva el mismo plazo, para conciliar las firmas consumidas de los bonos.
Los datos operativos (cuentas de usuario, credenciales, tokens de API, secretos de webhooks, registros de actividad del panel y sobres no firmados) se bloquean con la baja y se eliminan a los noventa días, una vez agotado el plazo de exportación del apartado 5.

4. Destinatarios y encargados del tratamiento

No se ceden datos a terceros salvo obligación legal. Para prestar el servicio, Firmatia se apoya en los siguientes proveedores, con los que tiene contrato de encargo conforme al artículo 28 RGPD para los datos del servicio que tratan por cuenta de Firmatia:

Alojamiento, almacenamiento y copias de seguridad: Hetzner Online GmbH (Alemania, Unión Europea).
Envío de correo electrónico transaccional (enlaces de firma, códigos de verificación, copias de documentos firmados y avisos): Mailjet (Mailjet SAS, Francia, Unión Europea; sociedad del grupo Sinch AB, Suecia), con los datos alojados en centros de datos de la Unión Europea. Ver el apartado 7.
Envío de SMS (enlaces de firma y códigos de verificación, solo cuando el cliente facilita un número de teléfono del firmante): Twilio Inc. (Estados Unidos), sujeto a cláusulas contractuales tipo de la Comisión Europea. El servicio utiliza la región europea de Twilio (Irlanda): dentro del servicio de Twilio, el contenido y el destinatario de los mensajes se procesan y almacenan en la Unión Europea hasta su entrega a los operadores de telecomunicaciones, que pueden tratarlos fuera de la Unión cuando el número de destino lo requiera; el acceso técnico de soporte desde fuera de la Unión queda amparado por dichas cláusulas. Twilio trata como encargado el contenido y el destinatario del mensaje, y como responsable independiente los datos técnicos de la red necesarios para entregarlo y facturarlo, según su propio acuerdo de protección de datos. En el entorno de pruebas no se envían SMS.
Sellado de tiempo y servicios de confianza: prestadores cualificados de servicios de confianza establecidos en la Unión Europea e incluidos en las listas de confianza de la UE (Reglamento eIDAS), para el sello de tiempo de los documentos firmados (actualmente Disig, a.s., Eslovaquia). En la firma con sello de tiempo, el prestador recibe únicamente un resumen criptográfico (hash) del documento, nunca el documento ni datos del firmante. En el nivel de firma avanzada, el prestador que emite el certificado del firmante trata los datos de identificación del firmante conforme a sus propias condiciones, que se le mostrarán antes de la emisión; ese nivel solo se activa para los clientes que lo contratan.
Administración del servidor: Laravel Forge (Laravel Holdings Inc., Estados Unidos), herramienta de despliegue y gestión del servidor, con acceso técnico limitado y sujeto a cláusulas contractuales tipo de la Comisión Europea.
Correo corporativo: Google Workspace (Google Ireland Ltd.), para la gestión del correo de contacto y soporte; Google está adherido al Marco de Privacidad de Datos UE-EE. UU.

Los datos y documentos del servicio, incluidas sus copias de seguridad, se alojan en la Unión Europea. Las transferencias internacionales identificadas son las derivadas de las herramientas indicadas, amparadas en decisiones de adecuación o en cláusulas contractuales tipo. La lista de proveedores se mantiene actualizada en esta política.

Si el cliente de Firmatia utiliza el servicio por cuenta de un tercero (por ejemplo, un integrador que gestiona firmas para sus propios clientes), ese cliente actúa como encargado de su cliente final y Firmatia como subencargado, con las condiciones que recoge el contrato de encargo entre Firmatia y el cliente.

5. Personas firmantes

Si ha recibido un enlace para firmar un documento, el responsable del tratamiento de sus datos es la empresa u organización por cuya cuenta se le envía el documento: normalmente el cliente de Firmatia y, cuando este actúa por cuenta de otra empresa (por ejemplo, un integrador que gestiona firmas para sus propios clientes), esa otra empresa, que el cliente identifica al configurar el servicio o al enviar el documento. El responsable decide qué documento se firma, con qué finalidad y cómo se gestiona su relación con usted. Firmatia trata sus datos como encargado, siguiendo las instrucciones de ese cliente, para ejecutar el proceso de firma y generar y conservar las evidencias que acreditan su validez.

Quién es el responsable en su caso. La página de firma muestra, antes de firmar, la denominación del responsable indicada por el cliente y un correo de contacto para asuntos de protección de datos y, si el cliente la ha facilitado, enlaza a la política de privacidad del responsable. Cuando el cliente no ha configurado un texto propio, se muestra una cláusula estándar con esa identidad y una referencia a este apartado. Esa información identifica al responsable y le explica el tratamiento que realiza Firmatia por su cuenta; la información sobre las finalidades y la base jurídica concretas de su relación con el responsable corresponde a este, a través de su propia política cuando la enlaza o de la relación que ya mantiene con usted. Sus datos identificativos los ha facilitado el cliente responsable, no usted; la información sobre el tratamiento se le muestra en el primer contacto (el correo o SMS con el enlace y la propia página de firma).

Datos tratados. Los que el cliente facilita para identificarle (nombre, correo electrónico y, en su caso, teléfono y número de documento de identidad), el documento que se firma, la firma trazada en pantalla o, en su caso, escrita con el teclado, el código de verificación enviado a su correo o a su teléfono, y los datos de evidencia del acto de firma: fecha y hora certificadas mediante sello de tiempo, dirección IP, navegador y dispositivo, y el texto y la versión de la declaración de firma que usted acepta. La firma trazada en pantalla se guarda únicamente como imagen: no se capturan ni se analizan la presión, la velocidad u otros rasgos del trazo, y no se realiza ninguna identificación biométrica. Los textos de presentación del correo y de la página de firma los redacta el cliente responsable; no forman parte de la evidencia. Si rechaza la firma, también el motivo que opcionalmente indique al rechazarla, que se comunica al responsable; no incluya en él datos de terceros ni datos especialmente protegidos.

Contenido del documento. El documento que se firma lo aporta el cliente responsable. Firmatia no analiza su contenido ni lo utiliza para ningún fin distinto de ejecutar la firma, conservarlo y acreditar su integridad. Si el documento contiene datos de otras personas o categorías especiales de datos (por ejemplo, datos de salud), corresponde al cliente responsable disponer de la base jurídica y, en su caso, de la condición del artículo 9 RGPD que lo permita; el contrato de encargo entre Firmatia y el cliente regula qué contenidos admite el servicio.

Finalidad y base jurídica. Ejecutar la firma electrónica solicitada y conservar la prueba de su integridad y autoría, conforme al Reglamento (UE) 910/2014 (eIDAS) y a la Ley 6/2020. La base jurídica la determina el cliente responsable; normalmente será la ejecución de un contrato o relación en la que usted es parte (art. 6.1.b RGPD) o su interés legítimo en acreditar la firma (art. 6.1.f RGPD). Al pulsar «Firmar» usted manifiesta su voluntad de firmar el documento; esa declaración se conserva como parte de la evidencia y no constituye por sí misma un consentimiento de protección de datos. La información de este apartado se le facilita para que conozca el tratamiento; si el responsable basa el suyo en su consentimiento, será él quien se lo solicite.

Además del tratamiento por cuenta del cliente, Firmatia conserva las evidencias de firma también en interés propio, como responsable, para poder acreditar el correcto funcionamiento del servicio ante una reclamación dirigida contra Firmatia (art. 6.1.f RGPD). Es una finalidad propia de Firmatia sobre las mismas evidencias: no supone datos ni operaciones adicionales, y el plazo de conservación es el mismo.

Conservación y custodia. Los documentos firmados y sus evidencias se custodian durante cinco años desde la fecha de la firma, por instrucción del cliente responsable recogida en el contrato de encargo, para que el cliente, el firmante o Firmatia puedan acreditar la integridad y la autoría de la firma ante una reclamación o disputa. La custodia es un servicio contratado y continúa aunque el cliente deje de usar el panel o la API.

Si el cliente se da de baja del servicio antes de cumplirse ese plazo, dispone de noventa días para exportar sus documentos y evidencias (devolución de los datos al responsable). Transcurridos, Firmatia deja de tratarlos de forma ordinaria y los mantiene bloqueados (arts. 32 y 33.4 LOPDGDD): sin acceso del cliente ni de Firmatia, salvo para ponerlos a disposición de jueces, tribunales o autoridades competentes, o para atender una reclamación o una responsabilidad derivada de la firma o del servicio. Los documentos bloqueados se eliminan al cumplirse los cinco años desde la firma, salvo que una reclamación o un procedimiento en curso comunicado a Firmatia exija conservarlos hasta su terminación; en ese caso se conservan bloqueados solo por ese motivo y durante ese tiempo.

Los sobres que no llegan a completarse (cancelados, rechazados, caducados o cerrados con error), hayan firmado o no algunos de sus firmantes, no generan documento firmado; mientras se conservan, su registro de actividad recoge las firmas parciales realizadas. Sus datos personales y documentos se eliminan a los doce meses de la cancelación, el rechazo, la caducidad o el error, o antes si el cliente se da de baja (noventa días después de la baja). En ambos casos Firmatia conserva un registro seudonimizado del sobre: su identificador técnico, la empresa remitente, el estado, las fechas, el nivel de firma y el número de firmantes, sin el documento, sin la imagen de la firma y sin ningún dato identificativo suyo (nombre, correo, teléfono, documento de identidad, dirección IP o navegador). Sirve para las estadísticas del servicio y para conciliar las firmas consumidas de los bonos del cliente; solo el cliente que le envió el documento podría relacionarlo con sus propios archivos a través del identificador, y se conserva el mismo plazo que la documentación contractual del cliente (apartado 3).

Cuando un documento firmado cumple los cinco años se eliminan el documento, la imagen de la firma, las evidencias y los datos identificativos de los firmantes, y se conserva el mismo registro seudonimizado.

Las exportaciones de la tabla de sobres en CSV o XLSX que el cliente genera desde el panel, que pueden contener datos de los firmantes, se eliminan automáticamente a los siete días de crearse.

Derechos. Puede ejercer sus derechos ante el cliente que le envió el documento; Firmatia colaborará con él para atenderlos. Si no logra identificarlo, escriba a privacidad@firmatia.es y le indicaremos quién es el responsable. Tenga en cuenta que las evidencias de una firma ya realizada forman parte de la prueba del acto jurídico: mientras sean necesarias para la formulación, el ejercicio o la defensa de reclamaciones (art. 17.3.e RGPD), la supresión puede denegarse y el documento firmado y sus evidencias no se alteran. La rectificación de un dato identificativo inexacto se atiende dejando constancia de la corrección en el registro de rectificaciones de Firmatia, asociada al identificador del sobre y sin modificar el original firmado, y en todo caso puede solicitar la limitación del tratamiento.

6. Copias de seguridad

Firmatia realiza copias de seguridad diarias de la base de datos y de los documentos alojados en el servidor de producción. Los documentos firmados que se guardan en el almacenamiento de objetos no forman parte de esa copia: los protegen el versionado y el bloqueo de retención de ese almacenamiento (apartado 9), que alcanza a los documentos firmados, los originales y las imágenes de firma. Las copias se cifran antes de salir del servidor, se almacenan en la Unión Europea (Hetzner, Alemania) y se rotan automáticamente: cada copia se conserva como máximo siete meses (diarias durante las dos primeras semanas, semanales durante dos meses y mensuales durante cuatro meses más), o menos si se alcanza el límite de espacio asignado. Por ello, un dato eliminado del servicio puede permanecer en una copia de seguridad hasta que esa copia se rota. Las copias solo se utilizan para restaurar el servicio ante una pérdida de datos y solo se accede a ellas con ese motivo. Si fuese necesario restaurar una copia, las eliminaciones por plazo se vuelven a aplicar automáticamente y las realizadas a petición de una persona interesada se repiten a partir del registro de solicitudes atendidas que Firmatia mantiene. El entorno de pruebas no tiene copias de seguridad.

7. Correos del servicio y registros de entrega

Los correos que envía el servicio (enlaces de firma, códigos, copias de documentos firmados y avisos) salen a través del proveedor indicado en el apartado 4, que trata su contenido y su dirección de correo para entregarlos. No incluyen imágenes invisibles de seguimiento ni enlaces reescritos: Firmatia no registra si usted abre un correo ni qué enlaces pulsa en él. De cada envío, Firmatia consulta en el proveedor los estados técnicos (enviado, entregado, rebotado, error) para diagnosticar problemas de entrega y atender el soporte del cliente que envió el documento, sobre la base del interés legítimo del cliente responsable y de Firmatia en que la firma llegue a realizarse (art. 6.1.f RGPD); el proveedor conserva esas estadísticas de envío, con la dirección de destino, durante un máximo de trece meses según el plan contratado. La prueba de acceso a la página de firma y del acto de firma es el registro de actividad propio de Firmatia, descrito en el apartado 5.

8. Derechos de las personas interesadas

Puede ejercer en cualquier momento sus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento cuando el tratamiento se base en él, escribiendo a privacidad@firmatia.es o por correo postal a la dirección del apartado 1, indicando el derecho que ejerce y acompañando, si existe duda razonable sobre su identidad, una copia de un documento identificativo. Responderemos en el plazo máximo de un mes.

Si considera que el tratamiento no se ajusta a la normativa, puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

9. Seguridad

Firmatia aplica medidas técnicas y organizativas apropiadas al riesgo: cifrado de las comunicaciones (TLS), control de acceso por empresa y por rol de usuario, enlaces de firma de un solo uso y con caducidad, enlaces de descarga firmados criptográficamente y con caducidad, registro de auditoría con encadenamiento de hashes, huella SHA-256 y sello de tiempo cualificado de los documentos firmados, almacenamiento con versionado y bloqueo de retención de los documentos firmados, los originales y las imágenes de firma durante su plazo de custodia (protegidos frente a modificaciones y borrados accidentales o no autorizados; el bloqueo se aplica al cerrar cada sobre y Firmatia supervisa que se haya aplicado; las actuaciones que legalmente procedan se documentan mediante anotaciones adicionales, sin alterar el original), copias de seguridad cifradas y alojamiento en la Unión Europea.

10. Entorno de pruebas (sandbox)

sandbox.firmatia.es es un entorno de pruebas para integradores. Solo debe utilizarse con datos ficticios o con datos de las propias personas que realizan las pruebas; no debe introducirse en él ningún documento real ni datos de terceros. Los sobres del sandbox, con sus documentos, firmantes y evidencias, se eliminan automáticamente a los treinta días de su creación; no se realizan copias de seguridad de este entorno, no se envían SMS y las firmas que produce no tienen sello de tiempo cualificado. Las cuentas del sandbox siguen el apartado 3.

11. Menores

Las cuentas del servicio solo pueden contratarlas empresas, profesionales y personas mayores de edad. Si un cliente envía un documento para su firma a un menor de dieciocho años, es el cliente responsable quien debe contar con la base jurídica y las autorizaciones necesarias; Firmatia no comprueba la edad de los firmantes.

12. Cambios en esta política

Esta política puede actualizarse para reflejar cambios legales o del servicio. Cada versión indica su número y fecha en el encabezado; los cambios sustanciales se comunicarán a los clientes.

Versión 3 (26/09/2026): custodia de los documentos firmados durante cinco años por instrucción del cliente, con devolución en noventa días tras la baja y conservación bloqueada hasta cumplir el plazo; plazo de doce meses para los sobres no firmados y conservación de un registro seudonimizado; bases jurídicas por tipo de usuario y plazos separados para la documentación contractual y los datos operativos; información al firmante sobre el responsable en la página de firma; precisiones sobre el contenido del documento, la firma trazada (solo imagen) y la declaración de firma; matices sobre los roles de los proveedores y el subencargo; correos sin seguimiento de aperturas ni clics (Mailjet) y SMS con residencia de datos en la Unión Europea (Twilio, Irlanda); copias de seguridad con límite de siete meses; apartado propio del sandbox; almacenamiento inmutable en seguridad.

Versión 4 (28/09/2026): motivo opcional del rechazo de la firma, facilitado por la persona firmante y comunicado al responsable, añadido a los datos tratados del apartado 5.

Versión 5 (29/09/2026): identificación del prestador actual del sello de tiempo; aclaración de que los sobres no completados con firmas parciales no generan documento firmado y siguen el plazo de doce meses; descripción más precisa de las copias de seguridad y de la protección de los documentos en el almacenamiento de objetos; enlaces de descarga firmados y con caducidad, y bloqueo de retención en lugar de «almacenamiento inmutable», en el apartado de seguridad.

Versión 6 (01/10/2026): eliminación automática a los siete días de las exportaciones CSV/XLSX generadas desde el panel; los datos de firma del apartado 5 incluyen la firma escrita con el teclado, cuando exista, en línea con la declaración de firma vigente.

Versión 7 (02/10/2026): el bloqueo de retención del almacenamiento de objetos protege no solo los documentos firmados, sino también los originales y las imágenes de firma (apartados 6 y 9).

Versión 7 · actualizado el 2/10/2026