Política de privacidad

Última actualización: 15 de octubre de 2026

Esta política explica qué datos personales tratamos en la web conta.finance, en el centro de ayuda (help.conta.finance), en la plataforma de cuentas (accounts.conta.finance) y en la aplicación de cada organización. Dice para qué usamos los datos, con qué base jurídica, con qué proveedores y durante cuánto tiempo, y cómo puedes ejercer tus derechos.

Responsable

Stakely, S.L., con CIF B72551682 y domicilio en C/ Ferraz 2, 2º Izq, 28008 Madrid, España, presta Conta Finance. Para cualquier cuestión de privacidad, escríbenos a [email protected].

Los datos de tu organización

Una organización que contrata Conta Finance carga o conecta sus datos contables: sus cuentas propias y sus direcciones, sus transacciones, sus contactos y contrapartes, sus categorías, reglas, notas y comentarios, los archivos que importa y lo que llega de sus exchanges y de su ERP. Esos datos pueden incluir datos personales, por ejemplo el nombre de un contacto, o la cuenta bancaria y el beneficiario de una retirada de un exchange.

Para esos datos, la organización es la responsable del tratamiento y Stakely es el encargado (artículo 28 del RGPD). Los tratamos solo para prestar el servicio, según las instrucciones de la organización y lo que dicen el contrato y las condiciones de uso. Si tus datos están en los registros de una organización, dirígete a ella para ejercer tus derechos. Si nos escribes a nosotros, le pasamos tu petición. El resto de esta política trata los datos de los que Stakely es responsable. La lista de proveedores nombra también a los que intervienen cuando prestamos el servicio a la organización.

Qué datos tratamos y para qué

Si nos escribes desde la web

• Datos. Los que escribes en el formulario de contacto: nombre, email de trabajo y, si quieres darlos, empresa, tipo de organización, volumen de transacciones, fuentes principales y el mensaje. En el formulario de newsletter, tu email y tu solicitud. También el idioma de la página.
• Para qué. Para responder a tu solicitud y, si lo pides, preparar la llamada. Si pides la newsletter, el equipo gestiona tu suscripción a mano: el formulario no te da de alta. Una solicitud de contacto no te añade a ninguna lista de correo.
• Base jurídica. Tu consentimiento, que das al marcar la casilla antes de enviar el formulario. Puedes retirarlo cuando quieras escribiéndonos.
• Dónde acaban. El formulario envía un correo a nuestro buzón y una confirmación a la dirección que escribiste, que no repite ni tu mensaje ni tu nombre. No guarda nada en ninguna base de datos. Cloudflare envía los dos correos y reenvía el nuestro al buzón del equipo, que aloja Microsoft (Outlook). Los dos actúan como encargados del tratamiento. Para evitar abusos, el servidor cuenta durante diez minutos los envíos de cada dirección IP, en memoria, sin guardarlos.
• Cuánto duran. Conservamos el mensaje mientras dure la conversación y el plazo legal que corresponda, y después lo borramos. La solicitud de newsletter, hasta que nos pidas la baja.

Si visitas la web o el centro de ayuda

El centro de ayuda no usa cookies de analítica ni de publicidad. Cloudflare presta la red de entrega y la seguridad de la web y del centro de ayuda. Trata la dirección IP y los datos técnicos de cada petición (navegador, página y hora) para servir las páginas y protegerlas de ataques. Base jurídica: nuestro interés legítimo en que las webs funcionen y estén protegidas.

En el centro de ayuda puedes preguntar a Ask ContaGPT cómo funciona el producto. Tu pregunta y la conversación se envían a Anthropic, que proporciona el modelo de lenguaje como encargado del tratamiento, para que responda a partir de los artículos de ayuda. Estas preguntas no necesitan datos personales ni contables: no los incluyas. El servidor no guarda ninguna pregunta. Las conversaciones se quedan solo en tu navegador (las 20 más recientes), y puedes borrar cada una desde el centro de ayuda. Para evitar abusos, el servidor cuenta durante una hora las preguntas de cada dirección IP, en memoria. Base jurídica: nuestro interés legítimo en responder a las dudas sobre el producto.

Tu cuenta en la plataforma

Para darte acceso a Conta Finance, la plataforma de cuentas trata:

• tu email, tu nombre, tu foto si subes una y tu idioma preferido;
• los equipos y las organizaciones a los que perteneces, tu rol y tu nivel de acceso;
• los métodos con los que inicias sesión: el código por correo y, si las conectas, tu cuenta de Google o de Microsoft (guardamos el identificador que nos da el proveedor);
• la verificación en dos pasos, si la activas: el secreto de tu app de autenticación, cifrado, y tus códigos de recuperación, guardados como huellas (hash) que no permiten leerlos;
• tus sesiones: el navegador y el sistema que usas (el agente de usuario), cuándo empezó cada sesión y cuándo la usaste por última vez;
• la fecha y el método de tu último inicio de sesión, si usaste el segundo factor y tu última actividad en cada organización;
• las invitaciones que envías o recibes (email, equipo, rol y fechas) y las ofertas entre equipos;
• un registro de auditoría de los cambios de acceso y de seguridad: quién invitó a quién, quién cambió un permiso, los inicios de sesión rechazados (con el email que se intentó) o la conexión de un cliente de IA.

Las personas de tu equipo ven tu nombre, tu email, tu foto y tu rol. Los propietarios y los administradores ven también tu último inicio de sesión, si usas el segundo factor y tu última actividad. La aplicación de cada organización guarda una copia de tu nombre, tu email y el enlace a tu foto, para mostrar quién hizo cada cambio. Tu foto y el logotipo de una organización se sirven en una dirección aleatoria, que puede abrir quien la conozca.

• De dónde salen. Nos los das tú. Cuando alguien te invita a un equipo o te cede una organización, esa persona nos da antes tu email, y el correo de la invitación te dice quién fue.
• Para qué. Para darte acceso, gestionar los equipos y los permisos, proteger las cuentas frente a accesos sin permiso y poder demostrar quién hizo cada cambio de acceso.
• Base jurídica. La ejecución del contrato con tu organización y nuestro interés legítimo en prestar de forma segura el servicio que tu organización contrató (artículo 6.1.b y 6.1.f del RGPD). Sin un email no puedes tener una cuenta.
• Cuánto duran. Mientras exista tu cuenta. Una sesión termina tras 12 horas sin uso y a los 30 días como máximo. Una invitación caduca a los 7 días. La solicitud de un código por correo se borra una hora después de caducar. El historial de sesiones y de invitaciones se conserva mientras existan la cuenta o el equipo. El registro de auditoría se conserva mientras exista la organización y, después, el tiempo necesario para atender posibles reclamaciones.

Inicio de sesión y correos del servicio

• Código por correo. Para iniciar sesión te enviamos un código de 8 dígitos. Caduca a los 10 minutos y solo sirve en el navegador que lo pidió. Solo lo enviamos a una dirección que tiene acceso o una invitación.
• Google y Microsoft. Son opcionales y los eliges tú. Si inicias sesión con uno de ellos, le pedimos tu identificador, tu email (y si está verificado) y tu nombre, y recibimos datos técnicos del inicio de sesión, como la organización de tu cuenta y cuándo te autenticaste. Guardamos el identificador de tu cuenta y, al crear tu cuenta, tu nombre y tu email. No guardamos ni tu foto ni las credenciales del proveedor. Google y Microsoft tratan tu inicio de sesión según sus propias políticas de privacidad.
• Correos del servicio. Cloudflare envía, como encargado del tratamiento, los códigos para iniciar sesión y para confirmar tu identidad, las invitaciones, el aviso de que una organización se cede a un cliente y las ofertas para enlazar equipos. La plataforma no envía publicidad.

Seguridad, soporte y registros técnicos

• Para evitar abusos, los servidores limitan los intentos, por ejemplo los códigos por correo que puede pedir una dirección de email o una dirección IP. Esos contadores viven en memoria unos minutos y no se guardan.
• Los servidores escriben un registro técnico cuando rechazan una petición o cuando falla un proceso. Ese registro puede incluir un email, una dirección IP, el identificador de una persona o la dirección pública de una cuenta de la organización. Guardamos estos registros en nuestros propios sistemas durante 30 días, para investigar errores e incidentes.
• Si tu organización da acceso a nuestro equipo de soporte, ese acceso dura el plazo que elige la organización (24, 72 o 168 horas), y la aplicación registra cada petición que hace el equipo de soporte.

Para encontrar y corregir fallos, la aplicación de cada organización envía informes de error a Sentry, como encargado del tratamiento. Antes de que salga un informe, quitamos el contenido de las peticiones, las cookies, las credenciales, los parámetros de las direcciones y los datos de la persona. Un informe lleva el error, la página (por su nombre, no por su dirección), la organización, el nivel de acceso, el idioma y el navegador, y puede incluir la dirección pública de una cuenta de la organización cuando el error trata de ella. Sentry recibe la dirección IP desde la que el navegador envía un informe. Base jurídica de este apartado: nuestro interés legítimo en la seguridad de la plataforma y de los datos de los clientes, y en un servicio que funcione sin errores.

Analítica en la web

La web mide sus visitas con Matomo, que funciona en nuestros propios servidores de la Unión Europea. En la web Matomo no instala ninguna cookie ni usa almacenamiento del navegador. Tu navegador envía la medición directamente a Matomo, y Matomo cuenta cada visita a una página sin vincular tus visitas entre sí. La medición lleva la dirección y el título de la página, la página desde la que llegaste, tu dirección IP (Matomo la guarda acortada) y los datos técnicos de tu navegador (navegador, sistema, idioma y tamaño de pantalla). No lleva nombre, correo ni nada de lo que escribes en los formularios. Matomo guarda los datos en nuestros servidores durante 25 meses como máximo. Base jurídica: nuestro interés legítimo en saber cómo se usa la web y en mejorarla. Puedes oponerte: escríbenos a la dirección de esta política. Algunos navegadores y bloqueadores detienen esta medición, y entonces no se cuenta nada.

Cuando lo activamos, Google Analytics mide la web solo si aceptas. Un aviso te pide tu elección, con Aceptar y Rechazar. Google Analytics no se carga ni recibe nada hasta que aceptas: antes no sale ninguna petición hacia Google, y un rechazo o la falta de elección lo mantienen así. Si aceptas, instala las cookies _ga y _ga_<id> en tu navegador y recibe la dirección y el título de cada página, tu dirección IP y los datos técnicos de tu navegador. Lo usamos con las señales de Google y la publicidad desactivadas. Google Analytics conserva los datos 14 meses y puede tratarlos en Estados Unidos. Base jurídica: tu consentimiento. Tu navegador guarda tu elección en el almacenamiento local, con el nombre conta.landing.analytics, con el valor accepted o rejected y sin fecha de caducidad. Puedes cambiarla en cualquier momento en Opciones de privacidad, en el pie de la web. Si rechazas después de haber aceptado, borramos las cookies de Google Analytics de tu navegador.

Analítica de uso en la aplicación y en la plataforma de cuentas

Medimos cómo se usan la aplicación de cada organización y la plataforma de cuentas, para encontrar problemas y decidir qué mejorar. Usamos Matomo, que funciona en nuestros propios servidores de la Unión Europea, y, solo si aceptas, Google Analytics. La medición nunca envía el contenido de tus registros: ninguna dirección de cuenta, hash de transacción, importe, nombre escrito por una persona, mensaje a ContaGPT ni nombre de archivo. Una página se envía por su nombre (por ejemplo, https://app.conta.finance/t/transactions), nunca por su dirección real, y los recuentos van en tramos.

• Sin elección, o si rechazas. Matomo cuenta las visitas y el uso de las funciones de forma anónima, sin cookies y sin vincular tus visitas entre sí. Base jurídica: nuestro interés legítimo en mejorar el producto. Puedes oponerte: desactiva Estadísticas anónimas.
• Si aceptas. Matomo guarda cookies en tu navegador, vincula tus visitas a un código seudónimo y mide el tiempo en cada página. Nuestro servidor calcula ese código a partir de tu identificador con una clave secreta: no es tu nombre ni tu email. Si está configurado, también se carga Google Analytics. Recibe el mismo código seudónimo, un código seudónimo de la organización, tu nivel de acceso, tu idioma y algunos ajustes de la organización (moneda de presentación, método de coste, formato de números y si el equipo es el propietario). Google Analytics no se carga ni recibe nada hasta que aceptas, y lo usamos con las señales de Google y la publicidad desactivadas. Base jurídica: tu consentimiento.
• Señales de tu navegador. Si tu navegador envía Global Privacy Control o Do Not Track y no has elegido, tratamos la señal como un rechazo: Matomo cuenta de forma anónima y Google Analytics no se carga. La elección que hagas manda sobre la señal. Si desactivas Estadísticas anónimas, no medimos nada.

Tu elección pertenece a tu cuenta: vale en todas las organizaciones y en todos los dispositivos en los que inicias sesión. Si eliges antes de iniciar sesión, tu navegador guarda la elección, y la guardamos en tu cuenta cuando inicias sesión, salvo que tu cuenta ya tenga una. La elección dura 13 meses, y después te la volvemos a pedir. Guardamos un registro de cada cambio de tu elección (el día y la hora, el valor anterior y el nuevo, la aplicación en la que la hiciste y la versión del texto que viste), porque la ley nos pide poder demostrar tu consentimiento (artículo 7.1 del RGPD). Guardamos ese registro mientras exista tu cuenta y, después, el tiempo necesario para atender posibles reclamaciones. Puedes cambiar tu elección en cualquier momento: en tu perfil de la plataforma de cuentas (la sección Privacidad), o en Opciones de privacidad, en el menú de tu foto. Si retiras el consentimiento, borramos las cookies de analítica de tu navegador.

Según la configuración, tu navegador envía la medición directamente a Matomo, o a la dirección de la aplicación o de la plataforma de cuentas, y nuestro servidor la reenvía a Matomo con tu dirección IP. Matomo guarda los datos en nuestros servidores, con la dirección IP acortada, durante 25 meses como máximo. Como cualquier petición web, una petición a Google lleva tu dirección IP y los datos técnicos de tu navegador, y puede mostrar el nombre del servidor de tu organización (por ejemplo, empresa.conta.finance). Google Analytics conserva los datos 14 meses y puede tratarlos en Estados Unidos.

ContaGPT

ContaGPT es el asistente de la aplicación. Es opcional: cada persona decide si lo usa y qué pregunta, y acepta un aviso antes de la primera pregunta. Guardamos esa aceptación con su versión y su fecha. Cuando preguntas, tus preguntas, los mensajes anteriores de la misma conversación, los datos que ContaGPT lee para responder (por ejemplo saldos, transacciones, direcciones, nombres de contactos o comentarios) y algunos ajustes de la organización (como su moneda de presentación y sus categorías) se envían a Anthropic, que proporciona el modelo de lenguaje como encargado del tratamiento. No enviamos tu nombre, tu email ni el nombre de tu organización. Anthropic no usa estos datos para entrenar sus modelos y los borra en un plazo de 30 días, salvo el contenido que marcan sus sistemas de seguridad, que puede conservar más tiempo. Consulta la política de privacidad de Anthropic.

Tus conversaciones se guardan en la base de datos de tu organización, y solo tú puedes leerlas. Se conservan hasta que las borras. Al borrar una conversación se borra también lo que ContaGPT leyó para ella. Si no usas ContaGPT, no se envía nada. Base jurídica: la prestación del servicio que contrató tu organización, que usas cuando lo pides.

Clientes de IA (MCP)

Una persona con acceso total puede permitir que los usuarios de la organización conecten su propio cliente de IA (por ejemplo, Claude o ChatGPT) por MCP. Está desactivado por defecto. Para conectar un cliente, lo autorizas en la plataforma de cuentas. El cliente recibe un token con tu email, tu nombre, tu foto, tu equipo, tu organización y tu nivel de acceso, y lee los datos que pide, por ejemplo cuentas y sus direcciones, contactos, transacciones con sus comentarios, reglas o el coste de adquisición. Puede preparar cambios, que solo se hacen si los confirmas en Conta Finance.

El proveedor de ese cliente de IA lo eliges tú, no nosotros. Trata los datos según sus propias condiciones y no es encargado nuestro. Guardamos la conexión (cliente, permisos y fechas) y un registro de cada consulta del cliente (herramienta, parámetros y un resumen del resultado), que borramos a los 90 días. Una conexión dura 90 días como máximo, y termina antes si nadie la usa durante 30 días. Puedes desconectarla en tu perfil, en Seguridad. Base jurídica: la prestación del servicio, a petición tuya.

Las integraciones que conecta tu organización

• Exchanges (KuCoin, Kraken, Bit2Me, Bitvavo y Binance). La organización nos da una clave de su cuenta, que guardamos cifrada. Nuestros servidores leen con ella el historial y los saldos de esa cuenta, y solo envían la clave a su propio exchange. Lo que llega puede incluir datos de terceros, como la cuenta bancaria o el beneficiario de una retirada.
• ERP (QuickBooks Online de Intuit, y Holded). Cuando la organización sincroniza, enviamos asientos con fechas, importes, cuentas contables, nombres de cuentas y contactos, el hash de la transacción y, si la organización lo activa, la última nota del equipo. Guardamos cifradas las credenciales del ERP. Con QuickBooks, cada persona conecta su propio usuario de Intuit, y su navegador pasa por la página de Intuit.
• Archivos importados. Guardamos las filas que contiene un archivo, no el archivo.

Estos servicios los elige la organización. Tratan los datos según sus propias condiciones con la organización, y no son encargados nuestros.

Datos de blockchain, posiciones y precios

Para construir los registros, nuestros servidores piden datos públicos de blockchain sobre las direcciones de la organización: las que sigue, una dirección que una persona pega al añadir una cuenta y, una vez al día, las mismas direcciones EVM en las demás blockchains EVM, para avisar de actividad que la organización no sigue. Estos proveedores reciben la dirección pública (o un valor calculado a partir de ella), los hashes de las transacciones y la dirección IP de nuestros servidores, nunca tu nombre, tu email ni otros datos de una persona:

• historial y saldos: Etherscan, Alchemy, Mintscan (Cosmostation), Trillium, Aptos Labs, FastNEAR, la Fundación NEAR, la Fundación Sui, nodos públicos de Solana, servidores Electrum públicos de Bitcoin, los nodos de Cosmos de Polkachu y de Archway, y nodos que opera Stakely;
• posiciones DeFi: DeBank, Jupiter y Rhea Finance.

Los precios, los tipos de cambio y los datos públicos de tokens y blockchains (DefiLlama, CoinGecko, Frankfurter y registros públicos de blockchains) se piden por token, por blockchain o por fecha, sin ninguna dirección de cuenta. Algunos de estos proveedores están fuera del Espacio Económico Europeo. Base jurídica: la prestación del servicio que contrató la organización.

Algunas imágenes de la aplicación se cargan desde servidores de terceros: los logotipos de protocolos DeFi (los da DeBank o Jupiter) y el logotipo de una blockchain cuando la organización lo toma de CoinGecko, del registro de Cosmos o de otra dirección. Esos servidores reciben tu dirección IP y el nombre del servidor de tu organización.

Redes sociales

Tenemos perfiles en LinkedIn y X. Si interactúas con ellos, esas redes tratan tus datos según sus propias políticas. Usamos lo que nos envías por ellas solo para responderte.

Cookies y almacenamiento en el navegador

La web y el centro de ayuda no instalan cookies propias, y la medición con Matomo de la web no instala ninguna. Las cookies y el almacenamiento que el servicio necesita para funcionar no necesitan tu consentimiento (artículo 22.2 de la LSSI). Las de analítica, sí: solo se instalan si aceptas.

Cloudflare puede instalar en nuestras webs una cookie técnica para protegerlas del tráfico automatizado (por ejemplo __cf_bm, durante 30 minutos). También puedes borrar las cookies y el almacenamiento en los ajustes de tu navegador.

Proveedores que tratan datos por nosotros

Estos proveedores actúan como encargados del tratamiento, con un contrato que les obliga a usar los datos solo para el servicio que nos prestan:

Otros destinatarios actúan por su cuenta, según sus propias condiciones: Google y Microsoft cuando inicias sesión con ellos; los exchanges, los ERP y los clientes de IA que conectan la organización o una persona; los proveedores de datos de blockchain, de posiciones y de precios de esta política; y las autoridades, cuando la ley lo exige.

Transferencias internacionales

La plataforma está alojada en la Unión Europea. Algunos proveedores están en Estados Unidos, o tratan datos fuera del Espacio Económico Europeo. En esos casos la transferencia tiene una garantía del RGPD: el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está adherido, o las cláusulas contractuales tipo de la Comisión Europea. Puedes pedirnos una copia de estas garantías.

Cuánto tiempo conservamos los datos

Cada apartado de arriba indica su plazo. Cuando un dato deja de ser necesario, lo borramos. Si la ley nos obliga a conservarlo (por ejemplo, para atender reclamaciones o requerimientos de una autoridad), lo bloqueamos durante ese plazo y no lo usamos para nada más.

Seguridad

Cada organización tiene su propia base de datos y su propio servidor de aplicación. Las bases de datos están cifradas en reposo y las conexiones van cifradas (HTTPS). Además, ciframos con AES-256-GCM las claves de exchange, las credenciales del ERP, los secretos de la verificación en dos pasos y las copias del estado y de los informes cerrados. Las sesiones, los tokens y los códigos de recuperación se guardan como huellas (hash). El acceso es por invitación, cada equipo puede exigir la verificación en dos pasos, y nuestro equipo de soporte solo entra en una organización si esta lo permite, por un plazo limitado, con un registro de cada petición y sin acceso a las credenciales de exchanges ni del ERP.

Tus derechos

Puedes pedirnos el acceso a tus datos, su rectificación o su supresión, la limitación de su tratamiento y su portabilidad. Puedes oponerte al tratamiento, y puedes retirar tu consentimiento en cualquier momento, sin que eso afecte al tratamiento anterior.

• Tu nombre, tu foto y tu idioma los cambias tú en tu perfil. Tus sesiones y tus clientes de IA conectados los ves y los cierras en Seguridad.
• La analítica la cambias en Opciones de privacidad.
• Para borrar tu cuenta, o para cualquier otra petición, escríbenos a [email protected] desde el email de tu cuenta. Si eres el único propietario de un equipo, transfiere antes la propiedad. Puede que te pidamos confirmar tu identidad. Respondemos en el plazo de un mes.
• Para los datos de los registros de una organización, dirígete a esa organización.

No tomamos decisiones automatizadas que produzcan efectos jurídicos sobre ti, ni hacemos perfiles con ese fin. Si crees que no hemos atendido tu solicitud como debemos, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

Menores

Nuestros servicios son para empresas y profesionales. No están dirigidos a menores y no tratamos sus datos a sabiendas.

Cambios en esta política

Si cambiamos esta política, publicamos la versión nueva en esta página con su fecha. Si el cambio es importante, te avisamos en la plataforma o por email. Cuando cambia lo que te pedimos aceptar, te lo volvemos a pedir.