Privacy Policy

Recopilamos datos personales cuando utiliza nuestra Plataforma. Los siguientes datos son procesados:

a) Registro y Cuenta de Usuario

• First and last name
• Email address
• Password (stored encrypted using bcrypt)
• Country and business type
• Business address (street, city, ZIP, state)
• Billing address (street, city, ZIP, state, country)
• Company name (optional, for existing companies)

Base legal: Art. 6(1)(b) GDPR (ejecución del contrato) y Art. 6(1)(a) GDPR (consentimiento).

Detalles requeridos: una cuenta requiere tu dirección de correo electrónico, una contraseña, un nombre de usuario, tu nombre y apellido y tu país. Son necesarios para acceder al acuerdo de usuario; sin ellos no podemos crear una cuenta. No existe obligación legal de proporcionarlos. Todo lo demás que se solicita al registrarse, como el nombre de la empresa, direcciones o un número de teléfono, es opcional. Para un plan de pago, nuestro proveedor de pagos también necesita tus datos de pago; sin ellos no se puede reservar ningún plan.

b) Gestión de la Empresa

• Company label (internal identifier)
• Desired company name
• Country and business type per company
• Progress data for each dashboard category

c) Datos Comerciales Específicos de la Herramienta

Dependiendo de las herramientas utilizadas, se procesan y almacenan los siguientes datos adicionales:

• Invoices: invoice numbers, recipient data, line items, amounts, due dates, PDF documents
• Customers: customer names, contact details, addresses, notes, communication history
• Inventory: product names, SKUs, quantities, prices, warehouse locations, supplier information
• Contracts: contracting parties, contract contents, terms, notice periods, document attachments
• Employees: employee names, contact details, positions, working hours, salary data, social security data
• Payroll: gross salaries, tax deductions, social security contributions, bank details
• Projects: project names, tasks, assignments, time tracking data, comments
• Time tracking: working hours, break times, project assignments
• Accounting: accounts, journal entries, receipts, income, expenses
• Tax: tax-relevant data, VAT calculations, input tax amounts
• Documents: uploaded files, document metadata, versioning data
• Calendar: appointments, reminders, participant information
• Suppliers: supplier names, contact details, order history, terms
• Orders: order numbers, product lists, quantities, prices, delivery status
• Travel expenses: travel data, receipts, expense reports, mileage
• Newsletter: recipient lists, email addresses, sending history, open rates
• Fleet: vehicle data, license plates, maintenance schedules, mileage
• Coupons: coupon codes, redemption history, validity periods
• Dunning: outstanding claims, dunning levels, payment reminders
• Digital signature: signatory data, timestamps, the signer's IP address and device details, document checksums. These details are the evidence that the signature is genuine and are kept together with the document.
• Legal: legal cases, deadlines, document templates
• Domain and email (Wavor Domains, Wavmail): domain names, DNS records, email inboxes, email content

Base legal: Art. 6(1)(b) GDPR (ejecución del contrato). Estos datos se procesan exclusivamente para proporcionar la función de la herramienta respectiva y no se utilizan para otros fines.

d) Registro de Acceso Anticipado (Lista de Espera)

• Name
• Email address
• Company name (optional)

e) Formulario de Contacto

• Name
• Email address
• Subject and message content

Las consultas de contacto se envían al Operador por correo electrónico (a través de un proveedor de servicios de correo electrónico).

f) Comentarios

Puede enviarnos comentarios a través de la ventana de comentarios y debajo de cada página de información («¿Fue útil esta información?»). La ventana se abre mediante «Enviar comentarios» en el panel de control, al agitar el dispositivo tres veces o presionar la tecla Shift tres veces. Almacenamos:

• the kind of feedback, your text and an optional rating
• the page on which you gave it, and how you opened the window
• your browser's identifier (user agent) and the time
• your account identifier if you are signed in; none without an account
• details of your device: screen and window size, language, time zone, light or dark appearance and the version of the Platform
• your last steps: the pages you opened last, their requests to our servers with their result, and error messages that occurred
• only if you are signed in: a picture of the visible screen and the text visible on it
• only if you are signed in: pictures you attach yourself

Before sending you see what goes along. You can leave out the device details, the steps, the picture and the text, and remove attached pictures. What you wrote into input fields is made unreadable on the picture and is not part of the text. Attached pictures are redrawn and made smaller on your device before sending. Details in the image file, such as where it was taken and the camera, are not carried over. The picture, attached pictures, the text, the device details and the steps are stored encrypted.

Si agita el dispositivo se evalúa únicamente en el propio dispositivo. Los datos de movimiento no se transmiten ni se almacenan. Su navegador recuerda si agitar abre la ventana (sección 5).

Tu dirección IP no se almacena con los comentarios. Sin una cuenta, se utiliza únicamente para limitar el número de envíos por conexión y se descarta una hora después del último envío.

El objetivo es mejorar la Plataforma y nuestra información. Base legal: Art. 6(1)(f) RGPD (interés legítimo en mejorar nuestro servicio). Los comentarios se eliminan automáticamente después de 24 meses. Hasta entonces, puede retirar cualquier comentario. Con su cuenta, puede hacerlo en cualquier momento en la configuración bajo «Privacidad». Sin cuenta y como miembro del equipo, su navegador guarda un identificador para ello. Mientras lo haga, puede retirar una valoración en la propia página de información y los comentarios de la ventana en la página «Enviar comentarios».

La Plataforma utiliza servicios de IA para proporcionar las siguientes características:

• AI assistant "Wavor Intelligence" - processes chat messages and user profile data (name, company, country, business type) in context
• Company name check - processes the entered desired company name, country, and business type
• Risk analysis - processes business description and company data
• Country information - processes country and business type
• Drafts for dunning letters, invoices, contract renewals and support replies - process the name of the customer concerned along with invoice and contract data
• Receipt recognition - processes the content of uploaded receipts, including supplier name and amounts
• Email analysis - processes the subject and content of incoming email
• Website generation - processes the description you enter

La entrada de texto y las imágenes, como los recibos subidos, se envían a un proveedor de servicios de IA en la Unión Europea. No utiliza los datos para entrenamiento ni los conserva. Ninguna solicitud se envía a proveedores de IA fuera de la UE.

Si una solicitud contiene datos sobre tus propios clientes -como el nombre en un borrador de cobro o factura-, esos datos se envían sin cambios. No se ocultan previamente.

El uso de IA se rastrea (costo por solicitud, punto final, marca de tiempo) para hacer cumplir los límites de uso mensual por usuario.

Las conversaciones con el asistente de IA 'Wavor Intelligence' se almacenan en nuestra base de datos para mantener el historial de conversaciones del usuario. Los datos almacenados incluyen: contenido del mensaje, rol del remitente (usuario/asistente), marca de tiempo y título de la conversación.

La Plataforma utiliza las siguientes cookies y mecanismos de almacenamiento local:

• Inicio de sesión y seguridad: cookies de sesión y protección contra solicitudes de otros sitios. Sin ellas, el servicio no funciona.
• Conveniencia: idioma, apariencia clara u oscura, mantener una dirección de país. Solo se establecen cuando tú mismo eliges algo.
• Sin cookies para publicidad, análisis o seguimiento, ni propias ni de terceros. La medición de alcance en la sección 6a funciona sin cookies.

Lista completa de todas las cookies con su propósito y retención

Base legal para cookies técnicamente necesarias: Art. 6(1)(f) GDPR (interés legítimo). Puede oponerse al uso de cookies a través de nuestro banner de cookies o la configuración de su navegador.

Cada vez que se accede a la Plataforma, se recopilan automáticamente datos técnicos: dirección IP, fecha y hora de acceso, páginas accedidas, navegador y sistema operativo utilizados, URL de referencia. Estos datos se procesan para garantizar operaciones técnicas y defenderse contra ataques.

Base legal: Art. 6(1)(f) GDPR (interés legítimo en la seguridad de la Plataforma).

Nuestros sitios web utilizan Cloudflare Web Analytics. Nos muestra cuántas visitas recibe una página y qué tan rápido se carga. El script es servido por Cloudflare, no establece cookies, no utiliza almacenamiento local ni genera huellas digitales a partir de la dirección IP o la cadena del navegador. Datos recopilados: la página visitada, la página de referencia, el navegador, el tipo de dispositivo, el sistema operativo, el país derivado de la dirección IP y las mediciones de tiempo de carga del navegador. Una visita se reconoce por la página de referencia, no por un identificador; no se crea ningún perfil de visitante.

Base legal: Art. 6(1)(f) RGPD (interés legítimo en conocer cómo se utiliza el sitio web y qué tan rápido funciona). Si no deseas la medición, bloquea el script (static.cloudflareinsights.com) en tu navegador; el sitio web funciona completamente sin él.

Además, contamos cuántas veces se abren la página de inicio, la página de precios y el registro. Solo almacenamos un número por día, sin cookie y sin ningún dato que pueda identificarte.

Los datos personales solo se comparten con terceros en la medida necesaria para la prestación del servicio. Las categorías de destinatarios son: alojamiento e infraestructura, procesamiento de pagos, envío y recepción de correos electrónicos, entrega de SMS, servicios de IA, registro de dominios y CDN y seguridad.

Los subprocesadores específicos utilizados, con nombre, ubicación y propósito, se enumeran en la Sección 13.

La Plataforma utiliza un proveedor de servicios de pago e identificación especializado (EE. UU.) con dos fines: restaurar el acceso cuando ya no tienes acceso a tu autenticación de dos factores, y para la verificación voluntaria de identidad en la configuración de tu cuenta. Se procesa lo siguiente:

• Photos of your identity document (ID card, passport, or driver's license), taken directly with the camera
• A selfie that the provider compares with the photo on the document (biometric data)
• Data read from the document: name, date of birth, address, document type, issuing country, expiry date and document number

La base legal es su consentimiento explícito (Art. 6(1)(a) RGPD, y para los datos biométricos Art. 9(2)(a) RGPD). La verificación de identidad se realiza únicamente por iniciativa suya. Puede retirar su consentimiento en cualquier momento; la retirada no afecta a la legalidad del tratamiento realizado hasta ese momento.

El proveedor verifica que el documento es auténtico y detecta documentos falsificados o manipulados. Procesa las fotos y el selfie según su política de privacidad; no se almacenan en nuestros servidores.

Almacenamos el resultado de la verificación (estado y resultado de coincidencia) y, del documento, el nombre y apellido, la dirección, el tipo de documento, el país emisor y la fecha de vencimiento; la fecha de nacimiento solo en forma cifrada. No almacenamos el número del documento, las fotos ni el selfie. Utilizamos estos datos para documentar la verificación y poder vincular una posterior restauración de acceso a tu cuenta.

Verificaciones de otras personas: una cuenta puede verificar la identidad de su contraparte mediante verificación de acceso, por ejemplo, antes de un contrato de alquiler. Realizamos esta verificación en nombre de la cuenta (sección 11). La persona verificada ve antes de comenzar quién solicitó la verificación. La cuenta ve entonces el resultado, el nombre y apellido y, en las primeras 48 horas, la fecha de nacimiento del documento. Leemos estos datos del proveedor de servicios cuando la cuenta abre la verificación y no los almacenamos. Conservamos el estado de la verificación y la etiqueta que la cuenta le asignó.

La Plataforma registra automáticamente los cambios en los siguientes datos de la cuenta:

• Email address and phone number
• First and last name
• Business and billing address
• Two-factor authentication settings (email, SMS, TOTP)

Los datos almacenados incluyen: el nombre del campo cambiado, el valor antiguo y nuevo, la marca de tiempo del cambio y el iniciador (usuario, administrador o sistema). Este registro sirve para la prevención del fraude, el cumplimiento de las regulaciones contra el lavado de dinero (AML) bajo GwG, y la protección del usuario en caso de cambios no autorizados en la cuenta.

Base legal: Art. 6(1)(c) GDPR (obligación legal, en particular GwG) y Art. 6(1)(f) GDPR (interés legítimo en la prevención del fraude). El historial de cambios se almacena de acuerdo con los períodos de retención legales (al menos 5 años bajo la Sección 8 GwG, hasta 10 años bajo la Sección 147 AO).

Si utiliza la función «Desistir del contrato», procesamos su nombre y la dirección de correo electrónico para el acuse de recibo. También procesamos los detalles del contrato, la hora de recepción y la zona horaria y el idioma de su navegador. Si ha iniciado sesión, vinculamos la declaración a su cuenta y al pago correspondiente. Sin iniciar sesión, la vinculamos a la cuenta a la que pertenece la dirección de correo electrónico proporcionada. El nombre, la dirección de correo electrónico y los detalles del contrato se almacenan cifrados.

Recibimos su desistimiento y le confirmamos su recepción en un soporte duradero sin demora indebida (Sección 356a(4) BGB). Reembolsamos las cantidades ya pagadas (Sección 357 BGB) y podemos demostrar su recepción más adelante. La base legal es el Art. 6(1)(c) RGPD.

Para proteger contra usos indebidos, registramos la dirección IP de su dispositivo en el registro de auditoría. Sin iniciar sesión, Cloudflare Turnstile también verifica que un humano envía el formulario. La base legal para esto es el Art. 6(1)(f) RGPD. Nuestro interés legítimo es proteger los contratos contra declaraciones de personas no autorizadas y el formulario contra solicitudes automatizadas.

Los destinatarios son el personal responsable de facturación y el servicio de envío de correos electrónicos. Cuando se deba reembolsar un pago, se añade el proveedor de servicios de pago (ambos en la sección 13). La declaración es un documento comercial recibido (Sección 147 AO, Sección 257 HGB). Lo conservamos durante seis años desde el final del año de su recepción y luego lo eliminamos. Eliminamos la dirección IP en el registro de auditoría después del mismo período.

Al registrarse, comparamos su nombre y apellido con las listas de sanciones, así como el nombre de su empresa si se proporciona. Después, repetimos la comparación cada día con las listas actualizadas: para su nombre, los nombres de sus empresas y de sus administradores. Utilizamos las listas de la Unión Europea, las Naciones Unidas, Estados Unidos (OFAC) y el Reino Unido. Las obtenemos cada día de las autoridades competentes. La comparación se realiza en nuestros propios servidores; sus datos no se envían a nadie para ello.

Si hay una posible coincidencia, registramos la comparación en el registro de auditoría. Esto incluye el nombre proporcionado, las entradas coincidentes en las listas, la hora, la dirección IP y el identificador del navegador. Un miembro del personal revisa la coincidencia y una persona, no el sistema, decide sobre su cuenta. Sin coincidencia, no almacenamos nada de la comparación.

La base legal es el Art. 6(1)(c) RGPD en conjunción con las regulaciones de sanciones de la Unión Europea. Estas prohíben poner fondos o recursos económicos a disposición de personas y organizaciones incluidas en las listas. La Unión Europea implementa las listas de las Naciones Unidas en estas regulaciones. Para las listas de Estados Unidos y el Reino Unido, la base legal es el Art. 6(1)(f) RGPD. Nuestro interés legítimo es no celebrar contratos con personas incluidas en ellas y no poner en peligro el procesamiento de pagos.

Conservamos una coincidencia durante siete años desde el final del año de la verificación. Esto nos permite demostrar la comparación a las autoridades; luego la eliminamos. Cómo trata la Plataforma a los países bajo embargo se detalla en la sección 8a.

Bajo el GDPR, usted tiene los siguientes derechos respecto a sus datos personales:

• Right of access (Art. 15 GDPR) - What data is stored about you
• Right to rectification (Art. 16 GDPR) - Correction of inaccurate data
• Right to erasure (Art. 17 GDPR) - Deletion of your data
• Right to restriction of processing (Art. 18 GDPR)
• Right to data portability (Art. 20 GDPR)
• Right to object (Art. 21 GDPR) - Object to processing
• Right to withdraw consent (Art. 7(3) GDPR)
• Right to lodge a complaint with a supervisory authority (Art. 77 GDPR)

To exercise your rights, please use our support page.

Autoridad supervisora competente: Comisionado Estatal para la Protección de Datos y Libertad de Información de Renania del Norte-Westfalia, Kavalleriestraße 2-4, 40213 Düsseldorf, Alemania.

Algunas decisiones se basan únicamente en un procesamiento automatizado y producen efectos jurídicos que le afectan a usted o inciden significativamente en su situación (Art. 22 RGPD). La Plataforma toma tales decisiones solo en tres casos:

• Restoring access (section 7a): after the identity service provider's check, the Platform compares the first and last name, date of birth and address from the identity document with the accounts whose holders have already verified their identity successfully before. If the result matches exactly one such account, you automatically receive a link at the email address this account already has, with which you restore access; your existing second factor stays active until the new one is confirmed. If you name another address, a staff member decides, as in every other case. If you have switched off recovery through support in the security settings, access is not restored this way, not even by a staff member. The Platform never rejects a request automatically. If the provider cannot complete the check, for example because a photo is unreadable, you can start it again at any time.
• Domains: if the email address of the domain holder is not confirmed within the deadline of the responsible registry (15 days for .com and other generic top-level domains), the domain is suspended automatically, as the registries' rules require (for generic top-level domains ICANN RAA § 3.7.7.1). As soon as the address is confirmed, the domain is released again.
• Countries under embargo (section 7d): if a registration comes from a country under a comprehensive embargo or one we do not currently serve, the Platform refuses it; it derives the country from the IP address. It likewise refuses a purchase for a company whose country is under such an embargo or whose address lies in Crimea or Sevastopol. If the address lies in the Donetsk, Kherson, Luhansk or Zaporizhzhia oblast, a person checks whether it lies in an area the government of Ukraine does not control.

En los tres casos, puede solicitar que un miembro del personal revise la decisión, exprese su punto de vista y conteste la decisión. Para ello, póngase en contacto con nuestro soporte.

Utilizamos medidas de seguridad técnicas y organizativas para proteger tus datos: las contraseñas se almacenan con bcrypt, las sesiones se gestionan a través de cookies httpOnly seguras, la transmisión de datos está encriptada a través de HTTPS/TLS y el acceso a la base de datos está restringido a servicios autorizados.

Los datos personales se retienen de acuerdo con los siguientes períodos:

• Account data (name, email, address): until account deletion by the user
• Company data and progress data: until account deletion
• Tool-specific business data (invoices, contracts, employees, accounting, etc.): until account deletion, unless statutory retention obligations apply (e.g., invoices 10 years per Section 147 AO)
• Chat histories with the AI assistant: until account deletion
• Early access registrations: until official platform launch or until withdrawal
• Contact inquiries: 6 months after completion of the inquiry
• Feedback: 24 months
• AI usage data (cost tracking): until account deletion
• Server log data: 90 days
• Sign-in history (the basis for the new-device alert): 365 days
• Sign-in attempts (protection against automated attacks): 90 days
• Session cookies: 7 days or until logout
• Change history (Data History): at least 5 years (GwG), up to 10 years (AO)
• Identity verification results: until account deletion or per statutory retention periods
• Withdrawal declarations (section 7c): 6 years from the end of the year of receipt
• Sanctions list matches (section 7d): 7 years from the end of the year of the check
• Checks of a company address in the Donetsk, Kherson, Luhansk and Zaporizhzhia oblasts (section 8a): 7 years from the end of the year of the last check

Cuando eliminas tu cuenta, todos los datos personales, datos de la empresa, datos de progreso e historiales de chat se eliminarán de forma irrevocable en un plazo de 28 días, a menos que se apliquen obligaciones legales de retención (por ejemplo, períodos de retención relacionados con impuestos de 6 o 10 años).

Para proporcionar nuestros servicios, utilizamos subprocesadores. Las características de IA y la infraestructura de alojamiento están integradas a través de proveedores externos especializados como subprocesadores. El proveedor de servicios de IA no actúa como un controlador de datos independiente, sino que procesa datos exclusivamente dentro del alcance de los acuerdos de procesamiento de datos. Existen Acuerdos de Procesamiento de Datos conforme al Art. 28 GDPR con todos los proveedores.

La lista completa de subprocesadores utilizados, con nombre, ubicación y propósito, se proporciona en la Sección 13.

A través del uso de nuestros proveedores externos en EE. UU., los datos personales pueden ser transferidos a terceros países. La transferencia se basa en las siguientes bases legales:

• EU-US Data Privacy Framework (EU Commission adequacy decision)
• Standard Contractual Clauses (SCC) pursuant to Art. 46(2)(c) GDPR
• Additionally, Transfer Impact Assessments (TIA) to evaluate the level of protection

Los proveedores de CDN y seguridad, así como los proveedores de alojamiento, como proveedores de infraestructura, aseguran sus propias bases legales para transferencias internacionales de datos, incluido el Marco de Privacidad de Datos UE-EE. UU. y/o Cláusulas Contractuales Estándar (SCC).

Utilizamos los siguientes subprocesadores:

Las Cláusulas Contractuales Tipo (SCC) según el Art. 46(2)(c) RGPD están vigentes con todos los subencargados de tratamiento con sede en EE. UU. Los Acuerdos de Tratamiento de Datos según el Art. 28 RGPD están vigentes con proveedores con sede en la UE.

Nos reservamos el derecho de actualizar esta Política de Privacidad en cualquier momento. Los cambios significativos se comunicarán a los usuarios registrados por correo electrónico o a través de la Plataforma. La versión actual siempre está disponible en la Plataforma.