Política de privacidad de AssinaJá
Versión: 2.0
En vigor desde: 10 de octubre de 2026
Esta es una traducción al español facilitada para su comodidad. La versión en portugués es el texto jurídicamente vinculante y prevalece en caso de discrepancia.
Esta Política explica qué datos personales tratamos cuando utiliza el sitio web assinaja.pt o la plataforma AssinaJá (aplicación web, API, complementos (add-ins), extensiones y aplicaciones), o cuando recibe a través de ella un documento para firmar; con qué finalidades, con qué base jurídica, con quién los compartimos, durante cuánto tiempo los conservamos y qué derechos tiene.
1. Quién es el responsable
RMB Sistemas de Informação, Lda. ("RMB"), NIF (número de identificación fiscal portugués) PT507175794, Rua das Hortas, 434, 4415-650 Vila Nova de Gaia, Portugal.
- Contacto para cuestiones de privacidad y ejercicio de derechos: [email protected] (asunto "Proteção de Dados", es decir, Protección de Datos).
2. Cuándo somos responsables y cuándo tratamos datos por cuenta de un cliente
- Somos responsables del tratamiento de los datos de su cuenta, de la facturación, de la seguridad y la prevención del fraude, de los datos de uso de la plataforma, de las comunicaciones que le enviamos y de las evidencias que la ley nos obliga a conservar.
- Tratamos datos por cuenta de nuestro cliente (somos "encargado del tratamiento") en lo que respecta al contenido de los documentos y a los datos de los destinatarios que una organización sube o indica en la plataforma. En ese caso, la organización que le ha enviado el documento es la responsable del tratamiento y debe informarle; nosotros seguimos sus instrucciones, en los términos del Acuerdo de Encargo del Tratamiento (Anexo I de los Términos de Uso).
3. Qué datos tratamos, para qué y con qué base jurídica
3.1 Usuarios registrados
| Finalidad | Datos | Base jurídica (RGPD, art. 6, apdo. 1) |
|---|---|---|
| Crear y gestionar la cuenta, autenticación (incluido el inicio de sesión con Microsoft o Google) | Nombre, apellidos, correo electrónico, idioma, contraseña (cifrada), identificadores del proveedor de autenticación | Ejecución del contrato — letra b) |
| Prestar el servicio: subir, preparar, enviar, firmar y archivar documentos | Documentos y su contenido, campos, firmas manuscritas guardadas, datos de los destinatarios que indique | Ejecución del contrato — letra b) |
| Firma con Chave Móvel Digital, SCAP o certificado propio | Nombre, número de identificación civil o fiscal que figura en el certificado, teléfono móvil, certificado público y atributos profesionales | Ejecución del contrato — letra b) |
| Facturación y pagos | Nombre, correo electrónico, NIF, dirección y teléfono de la organización; historial de compras. Los datos de la tarjeta los trata directamente Stripe y no llegan a nosotros | Obligación legal — letra c) y ejecución del contrato — letra b) |
| Verificación del móvil en el Plan Gratuito y prevención de abusos (incluido Cloudflare Turnstile) | Número de móvil, código de verificación, dirección IP | Interés legítimo en prevenir el fraude y los abusos — letra f) |
| Seguridad, registros de auditoría e investigación de incidentes | Dirección IP, user-agent, fecha y hora de las acciones, identificadores técnicos | Interés legítimo en proteger la plataforma — letra f) |
| Funcionamiento y mejora de la plataforma a partir de datos técnicos | Datos de uso (tiempos, errores, funcionalidades utilizadas, tipo y tamaño de archivo), sin el contenido de los documentos | Interés legítimo — letra f) |
| Comunicaciones de gestión del servicio (seguridad, facturación, cambios contractuales, avisos sobre la cuenta) | Nombre, correo electrónico, plan | Ejecución del contrato — letra b) |
| Comunicaciones comerciales sobre planes y servicios de pago y sugerencias de uso, basadas en el uso de la cuenta | Nombre, correo electrónico, plan, uso agregado de la cuenta | Para quien nunca ha comprado: consentimiento — letra a). Para clientes que ya han comprado: interés legítimo en promocionar servicios análogos — letra f). Puede oponerse gratuitamente en cada mensaje |
| Medición de audiencia (Google Analytics) y registro en el navegador de la campaña por la que llegó | Identificadores de cookies, páginas visitadas, origen de la visita (parámetros de campaña) | Consentimiento — letra a), otorgado en el banner de cookies |
| Registrar en la cuenta la campaña del enlace con el que se registró (por ejemplo, "linkedin"), para medir la eficacia de nuestras campañas | Origen, medio y nombre de la campaña indicados en el enlace de registro; no se guarda nada en su navegador con este fin | Interés legítimo — letra f) |
| Funcionalidades de IA que decida utilizar (explicación de documentos, editor automático) | Texto del documento seleccionado y la conversación | Ejecución del contrato — letra b), tras la aceptación de los términos propios de la funcionalidad |
| Búsqueda por el contenido de los documentos (cuando la active) | Texto extraído de las páginas y miniaturas | Ejecución del contrato — letra b) |
| Programa de Mejora (solo si se adhiere) | Documentos que decida compartir | Consentimiento — letra a), revocable en cualquier momento |
| Prueba de las firmas y defensa de derechos | Evidencias de firma y registros de auditoría | Obligación legal — letra c) e interés legítimo en la formulación, el ejercicio o la defensa de reclamaciones — letra f) |
3.2 Firmantes y destinatarios sin cuenta
Si ha recibido un documento para firmarlo o consultarlo, tratamos su nombre, correo electrónico, teléfono móvil (cuando se indique), número de identificación (cuando lo exija el método de firma), la dirección IP, el user-agent, la fecha y hora de cada acción, el consentimiento que otorgó al firmar y su firma.
Estos datos nos los ha facilitado la persona u organización que le envió el documento, que es la responsable de su tratamiento. Los utilizamos para enviarle el documento, autenticarle, recabar la firma y generar las evidencias y el informe de finalización que prueban la firma. Las evidencias se conservan en los términos de la sección 6.
3.3 Visitantes del sitio web
Tratamos los datos técnicos necesarios para mostrarle el sitio (dirección IP, tipo de dispositivo y navegador) y, solo con su consentimiento, datos de medición de audiencia y de campañas. Si se pone en contacto con nosotros, tratamos los datos que nos envíe para responder a su solicitud (interés legítimo o aplicación de medidas precontractuales).
3.4 Datos obligatorios
Los datos marcados como obligatorios en el registro, en la compra o en el método de firma elegido son necesarios para celebrar y ejecutar el contrato o cumplir obligaciones legales; sin ellos no es posible prestar el servicio solicitado. Los demás son facultativos.
3.5 Lo que no hacemos
- No vendemos datos personales.
- No utilizamos el contenido de sus documentos con fines publicitarios ni para entrenar modelos de inteligencia artificial, salvo que se adhiera al Programa de Mejora.
- No tomamos decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos en usted. Los límites automáticos de seguridad (por ejemplo, el número máximo de intentos de verificación) pueden bloquear temporalmente una operación; siempre puede contactarnos para solicitar una revisión humana.
4. Con quién compartimos datos
Solo compartimos datos con quien los necesita para prestar el servicio, cumplir la ley o defender derechos:
- Destinatarios y firmantes de un documento, en la medida que determine quien lo envió.
- Proveedores de servicios (encargados del tratamiento), obligados por contrato a la confidencialidad y la seguridad:
| Proveedor | Servicio | Ubicación de los datos |
|---|---|---|
| Microsoft Azure | Alojamiento, base de datos, almacenamiento de archivos, colas, monitorización, gestión de claves | Unión Europea (Países Bajos y Francia) |
| Cloudflare | Red de distribución, protección contra ataques, verificación antiabuso (Turnstile) | Red global; sede en EE. UU. |
| Agência para a Modernização Administrativa (AMA) | Chave Móvel Digital y SCAP | Portugal |
| Prestadores cualificados de sellado de tiempo: Sectigo (Europe) S.L., IZENPE, BOSA y BalTstamp | Sellos de tiempo cualificados (solo reciben el resumen criptográfico del documento, nunca el documento ni datos personales) | Unión Europea (España, Bélgica y Lituania) |
| ZeptoMail (Zoho) | Envío de correos electrónicos | Centro de datos en la Unión Europea |
| Clickatell | Envío de SMS | Unión Europea (Irlanda, infraestructura de Amazon Web Services); sede en EE. UU. |
| Stripe | Pagos | UE y EE. UU. |
| InvoiceXpress | Emisión de facturas | Unión Europea (Irlanda) |
| Medición de audiencia (solo con consentimiento) y autenticación con Google | EE. UU. | |
| Microsoft | Autenticación con Microsoft | UE y EE. UU. |
| Anthropic | Funcionalidades de IA, solo cuando las utiliza (no usa los contenidos para entrenar modelos) | EE. UU. (almacenamiento); el procesamiento puede realizarse en otras regiones |
- Autoridades públicas, tribunales y organismos reguladores, cuando la ley lo exija o para la defensa de derechos.
- Adquirente o sucesor de la actividad, en caso de fusión o transmisión, con las mismas garantías.
Los registros técnicos de la aplicación (logs) se guardan también en servidores propios de RMB, con acceso restringido.
5. Transferencias fuera del Espacio Económico Europeo
Algunos proveedores tienen su sede o infraestructura fuera del Espacio Económico Europeo, en particular en EE. UU. En esos casos, la transferencia se basa en una decisión de adecuación de la Comisión Europea (incluido el Marco de Privacidad de Datos UE-EE. UU., para las empresas certificadas) o en cláusulas contractuales tipo aprobadas por la Comisión, con medidas complementarias cuando sean necesarias. Puede solicitarnos una copia de las garantías aplicables.
6. Durante cuánto tiempo conservamos los datos
| Datos | Plazo |
|---|---|
| Datos de la cuenta | Mientras exista la cuenta. Al eliminar la cuenta, el nombre, los apellidos, el correo electrónico, el teléfono móvil, el número de identificación y las firmas guardadas se borran o anonimizan de inmediato, salvo lo indicado a continuación |
| Documentos | Mientras estén en la cuenta. Los documentos eliminados pueden recuperarse durante 15 días; transcurrido ese plazo se archivan y, 30 días después, se borran de forma definitiva (el documento y sus archivos). Solo se conservan el registro de auditoría y el informe de finalización, como prueba de la firma |
| Evidencias de firma, informes de finalización y registros de auditoría | Mientras exista el documento y, después, durante el plazo de prescripción de los derechos que puedan probar |
| Datos de facturación | Durante el plazo legal de conservación de los documentos fiscales |
| Códigos de verificación por SMS o correo electrónico | De unos minutos a 24 horas tras su caducidad |
| Sesiones de firma (IP, user-agent) | 30 días |
| Registros técnicos y de monitorización | Hasta 90 días |
| Conversaciones con funcionalidades de IA | AssinaJá no las guarda: solo permanecen en su navegador mientras la pestaña esté abierta y desaparecen al cerrarla. El proveedor de IA puede conservarlas temporalmente, conforme a su política, sin utilizarlas para entrenar modelos |
| Atribución de campaña | En el navegador, 30 días y solo con consentimiento; en la cuenta, mientras esta exista |
| Consentimientos aceptados | Mientras exista la cuenta y durante el plazo de prescripción aplicable, para acreditar la aceptación |
| Documentos compartidos en el Programa de Mejora | Hasta que abandone el Programa y como máximo 24 meses |
7. Sus derechos
Puede, en cualquier momento y de forma gratuita:
- acceder a sus datos y obtener una copia;
- rectificar los datos inexactos;
- suprimir sus datos, cuando no sean necesarios para las finalidades indicadas ni para cumplir la ley;
- limitar el tratamiento;
- recibir sus datos en un formato estructurado (portabilidad), cuando el tratamiento se base en un contrato o en el consentimiento;
- oponerse a los tratamientos basados en el interés legítimo, incluidas las comunicaciones de seguimiento;
- retirar el consentimiento (cookies de medición, Programa de Mejora), sin que ello afecte al tratamiento ya realizado.
En la plataforma, en Configuración, puede descargar sus datos personales, consultar los consentimientos aceptados y eliminar la cuenta. Para las demás solicitudes, escriba a [email protected]. Respondemos en el plazo de un mes, prorrogable en los casos previstos por la ley. Podemos pedirle que confirme su identidad.
Si ha recibido un documento de una organización, las solicitudes sobre ese documento deben dirigirse a dicha organización; si se pone en contacto con nosotros, le trasladaremos la solicitud.
También tiene derecho a presentar una reclamación ante la Comissão Nacional de Proteção de Dados (CNPD), la autoridad portuguesa de protección de datos: www.cnpd.pt.
8. Cookies y almacenamiento en el navegador
| Nombre | Finalidad | Duración | Requiere consentimiento |
|---|---|---|---|
| Cookie de sesión de la aplicación | Mantener la sesión iniciada, a petición suya | Hasta 150 días | No (esencial) |
aj_sign_session |
Sesión de firma de un documento | Fin de la sesión | No (esencial) |
.AspNetCore.Culture |
Recordar el idioma | 1 año | No (funcional) |
| Almacenamiento local y de sesión de la aplicación | Autenticación, preferencias de visualización, carrito de compra | Hasta que finalice la sesión o borre los datos del navegador | No (esencial/funcional) |
assinaja-ga-consent |
Guardar su elección sobre las cookies | Hasta que borre los datos del navegador | No |
aj_campaign (almacenamiento local) |
Recordar de qué campaña procede | 30 días | Sí |
_ga, _ga_* (Google Analytics) |
Medición de audiencia | Hasta 2 años | Sí |
| Cloudflare Turnstile | Distinguir personas de bots | Sesión | No (seguridad) |
Puede modificar su elección en cualquier momento a través del enlace "Preferencias de cookies" del pie de página.
9. Seguridad
Aplicamos medidas técnicas y organizativas adecuadas al riesgo, entre ellas el cifrado de las comunicaciones (en tránsito), el cifrado del almacenamiento (en reposo) por parte del proveedor de alojamiento, el control de accesos por perfiles, los registros de auditoría, las copias de seguridad y la separación de datos entre organizaciones. Ningún sistema es totalmente invulnerable; en caso de una violación de datos que suponga un riesgo, la notificaremos a la CNPD y, cuando sea obligatorio, a los interesados afectados.
10. Edad mínima
La plataforma está dirigida a mayores de 18 años y a personas con capacidad para contratar. Los menores solo pueden utilizarla a través de sus representantes legales.
11. Cambios en esta Política
Podemos actualizar esta Política. Los cambios relevantes se comunican por correo electrónico o en la plataforma antes de que surtan efecto. La versión vigente está siempre disponible en assinaja.pt/privacy_policy.