Aviso de
Privacidad

Flouvia y CORD son nombres comerciales utilizados por Andre Valle Ortega, la persona operadora identificada en este aviso. Este documento describe los tratamientos demostrables en el código y configuración actuales de Cord; no convierte una integración opcional o no configurada en un flujo activo.

01 Identidad del Responsable

Para efectos legales y operativos, es importante distinguir cómo interactuamos con los datos:

• Como Responsables (Data Controller): Actuamos como responsables sobre los datos de usted y su equipo (nuestros clientes directos) al crear una cuenta o suscribirse.
• Como Encargados (Data Processor): Actuamos como encargados sobre los datos de sus propios clientes. Nosotros solo procesamos esta información siguiendo sus instrucciones en la plataforma.

Pendiente de cumplimiento abierto: todavía no se publica el domicilio verificable del responsable. Esta omisión no limita ningún derecho ni canal de solicitud.

02 Datos Personales Recabados

Recopilamos información a través de tres vías principales:

• Datos de Identidad: Nombre, correo electrónico y contraseñas (gestionadas de forma encriptada).
• Datos Fiscales (CFDI 4.0): RFC, Razón Social, Régimen Fiscal, Código Postal y Certificados de Sello Digital (CSD).
• Datos Fiscales (Verifactu, España): NIF/CIF, razón social, domicilio fiscal y, si el negocio configura la función, un certificado electrónico (.p12/.pfx). El certificado y la contraseña se guardan cifrados. El envío real a la AEAT tiene un gate adicional de entorno desactivado por defecto; sin identidad verificada del sistema y el carril de envío habilitado, Cord produce un documento comercial y no debe afirmar que lo remitió.
• Datos Financieros y Patrimoniales: Banco, titular, CLABE, movimientos de pago, reembolsos, disputas y saldos negativos. CORD almacena la CLABE cifrada y conserva sus últimos cuatro dígitos para mostrarla. CORD no almacena números de tarjeta ni códigos de seguridad; Stripe los tokeniza directamente.
• Datos de Verificación de Identidad: Información del representante legal, directores y beneficiarios finales (25% o más), e imágenes de la identificación oficial y, cuando se requiera, del comprobante de domicilio. Las imágenes de los documentos se transmiten directamente a Stripe y CORD no las almacena de forma persistente. Antes de transmitirlas, CORD elimina los metadatos del archivo, incluida la ubicación GPS que el dispositivo de captura pudiera haber incrustado. CORD conserva un registro de cumplimiento de cada envío —qué parte del documento se remitió, cuándo, desde qué dirección IP, la forma técnica del archivo y la respuesta del sistema de verificación— durante cinco (5) años, conforme a la normativa de prevención de lavado de dinero. Ese registro nunca incluye la imagen, una miniatura, el número del documento, la fecha de nacimiento ni el domicilio personal.
• Datos de su Negocio: Catálogo de productos, listas de precios, y datos de las empresas a las que usted cotiza.
• Datos del Comprador y Evidencia de Disputas: Nombre, correo, dirección IP de compra, comunicaciones comerciales, recibos, documentos de entrega, fechas de servicio y demás evidencia que el Cliente decida guardar o enviar para responder a una disputa de pago.

Debido a que el alta de pagos puede involucrar datos financieros, patrimoniales o de verificación de identidad, solicitamos el consentimiento expreso por medios electrónicos de la persona titular antes de completarla. El consentimiento puede revocarse mediante el procedimiento de la sección 13, sin efectos retroactivos; sin embargo, la revocación o la falta de datos requeridos puede impedir que CORD y Stripe habiliten o mantengan los servicios de pago.

03 Finalidades

Los datos recabados se utilizan exclusivamente para los siguientes propósitos esenciales:

• Generar, almacenar y enviar cotizaciones, y procesar el timbrado de facturas electrónicas.
• Gestionar el cobro de su suscripción mensual y calcular el excedente de uso.
• Procesamiento de Pagos (Stripe Connect Custom): Conectar la cuenta de pagos del Cliente, recibir y conciliar cobros, calcular y cobrar las tarifas transaccionales de Cord, programar depósitos, procesar reembolsos, gestionar contracargos y saldos negativos, y cumplir los requisitos de verificación financiera. Los datos bancarios se cifran en CORD y se transmiten a Stripe por API. Las imágenes de los documentos se transmiten a Stripe sin almacenamiento persistente en CORD, previa eliminación de sus metadatos.
• Inteligencia Artificial: Procesar el texto necesario para la función de IA que invoque el usuario. Cord utiliza la API comercial de Anthropic; la política pública vigente del proveedor indica que las entradas y salidas comerciales no se usan para entrenar modelos salvo que el cliente comercial participe voluntariamente. Cord no presenta esa política del proveedor como garantía de que el tratamiento con IA carezca de riesgos.
• Cobranza Autónoma con IA (opcional): Si el Administrador de la cuenta la habilita, Cord procesa datos de cartera (nombre y correo del cliente, monto, vencimiento y el contexto de conversación seleccionado por el flujo) para redactar o enviar recordatorios en nombre del acreedor. Está desactivada por defecto.
• Enviar correos transaccionales y notificaciones.

04 Datos Anonimizados y Agregados

Podemos crear estadísticas agregadas o desidentificadas para analizar tendencias y mejorar Cord. Quitar identificadores directos no vuelve anónimo un dato por sí solo: si un conjunto puede vincularse razonablemente con una persona, seguimos tratándolo como dato personal. No prometemos que toda técnica de desidentificación haga imposible la reidentificación.

05 Política de Utilización de Cookies

CORD utiliza cookies y tecnologías de seguimiento de manera minimalista y no invasiva. No vendemos sus datos de navegación a redes publicitarias de terceros.

• Cookies Estrictamente Necesarias: Utilizadas para mantener su sesión activa, autenticar su identidad y prevenir ataques de falsificación de solicitudes (CSRF). Sin estas cookies, la aplicación no puede funcionar de manera segura. Siempre están activas y no pueden desactivarse desde el aviso de cookies.
• Analítica de Producto en el Navegador (PostHog): Mide vistas y adopción de funciones después de que acepta analítica en el aviso. Los eventos del navegador con sesión pueden vincularse al usuario y su organización. Por separado, si PostHog está configurado, el servidor de Cord puede registrar eventos de negocio a nivel organización con la creación de perfiles de persona desactivada; esos eventos no dependen de una cookie del navegador.
• Analítica Web sin Cookies de Terceros (Vercel): Registra dimensiones agregadas de vistas. Antes del envío, Cord elimina consultas y sustituye identificadores de clientes, documentos, disputas, SSO, invitaciones, enlaces públicos y captura de identidad. Vercel todavía procesa la solicitud técnica necesaria para prestar el servicio, por lo que no se afirma de forma absoluta que “no identifica a nadie”.

Puede cambiar su preferencia de cookies de analítica en cualquier momento. Administrar preferencias de cookies

06 Roles de tratamiento y terceros

Este aviso de privacidad no pone en vigor un DPA completo del artículo 28 por el solo uso de Cord. El DPA independiente continúa como borrador controlado y debe completarse con datos verificados de las partes, anexos de tratamiento, mecanismo de transferencia y evidencia de ejecución antes de que un Cliente dependa de él. El inventario siguiente declara el rol real de cada tercero; no todo destinatario es un subencargado.

07 Transferencias Internacionales de Datos

Algunos proveedores pueden tratar datos fuera del país donde se ubique el usuario o Cliente. El DPA o lista pública de subencargados de un proveedor demuestra sus términos publicados, pero no prueba la región, configuración o mecanismo de transferencia ejecutado para la cuenta de Cord. Esas evidencias permanecen en el checklist de liberación. Cuando aplique el capítulo V del GDPR, debe identificarse para la transferencia concreta una decisión de adecuación, las Cláusulas Contractuales Tipo de 2021 aplicables u otro mecanismo válido; el reconocimiento de este aviso no se usa como sustituto general.

08 Transferencias de Negocio (M&A)

La información pertinente para los Servicios puede formar parte de una fusión, adquisición, financiamiento, reestructura, insolvencia o venta de activos, sujeta a los deberes de confidencialidad, limitación de finalidad y aviso aplicables a la operación. Esto no autoriza a un adquirente ajeno a ignorar este aviso o la ley aplicable.

09 Retención y Seguridad

Cord utiliza TLS en tránsito y cifrado a nivel de campo para CLABE y secretos configurados. Los CFDI timbrados y los registros de cumplimiento del envío de identidad están configurados actualmente alrededor de una retención de cinco años. Cuando el modo Verifactu está realmente habilitado, la base guarda una secuencia append-only cuyos registros referencian la huella anterior; esta propiedad técnica no se presenta como prueba de que toda obligación española de conservación ya esté operativa. La retención de pagos, disputas, proveedores, respaldos y evidencias de aceptación aún requiere un calendario documentado registro por registro. Cord no guarda de forma persistente las imágenes de identidad enviadas a Stripe.

10 Protocolo ante Brechas de Seguridad

Si Cord conoce una vulneración de datos personales que afecte Datos del Cliente respecto de los cuales actúa como encargado, informará al Cliente aplicable sin dilación indebida y facilitará la información razonablemente disponible para su evaluación y notificaciones. Cuando Cord actúe como responsable, evaluará el aviso a autoridades y personas afectadas conforme a la ley aplicable al incidente. El plazo de 72 horas del GDPR ante la autoridad de control no se presenta como un plazo de 72 horas hábiles del encargado al Cliente.

11 Portabilidad y Eliminación de Datos

Los ajustes permiten exportar los datos de la organización en JSON y productos y clientes en CSV. Al eliminar una organización se borra su fila principal en la base de Cord y las filas operativas dependientes. Esto no borra por sí solo registros que un proveedor conserve por obligaciones propias, datos ya entregados por instrucción del Cliente, respaldos aún dentro de su ciclo de rotación ni la evidencia seudónima de aceptación legal que Cord conserva para acreditar el contrato. Las solicitudes sobre esos registros se evalúan por separado conforme a la ley aplicable.

12 Privacidad de Menores de Edad

CORD es una plataforma SaaS diseñada exclusivamente para empresas y profesionales. No recopilamos ni solicitamos a sabiendas Información Personal de ninguna persona menor de 18 años. Si descubrimos que hemos recopilado información de un menor de edad sin el consentimiento corporativo o verificable adecuado, eliminaremos dicha información de nuestros servidores lo más rápido posible.

13 Derechos de Privacidad

El nombre y fundamento de cada derecho depende de la ley aplicable. México reconoce Acceso, Rectificación, Cancelación y Oposición (ARCO); los regímenes GDPR incluyen acceso, rectificación, supresión, limitación, portabilidad y oposición; la LGPD de Brasil establece sus propios derechos. Ajustes permite actualmente exportar la organización, exportar ciertos CSV, corregir datos de cuenta y eliminar la organización. Las demás solicitudes requieren evaluación individual y no se describen como automatizadas solo porque exista una página de Ajustes.

Las solicitudes que no puedan completarse en Ajustes pueden enviarse a legal@flouvia.com. Indique el derecho y la cuenta o relación involucrada. No adjunte una identificación salvo que Cord solicite un medio proporcional de verificación después de revisar el caso; pedir una identificación completa por defecto recopilaría más datos de los necesarios.

14 Cambios al Aviso

Cada aviso publicado tiene versión y huella de contenido. Los cambios materiales que requieran un nuevo reconocimiento se presentan en la pantalla de reaceptación legal de Cord y se registran contra la versión exacta mostrada. El uso continuado no se describe como “aceptación explícita”. Un cambio de subencargado o transferencia sigue además el procedimiento de aviso y objeción del DPA ejecutado aplicable, si existe.