Política de privacidad

1. Responsable

El responsable de tus datos es Sebastian Eduardo Casal, CUIT 20-33966066-3, con domicilio en Salas y Valdez 1912, Yerba Buena (C.P. 4107), Tucumán, que presta arcafactura (en esta política, "el prestador"). Contacto: hola@arcafactura.com.

2. Qué datos tratamos

De tu cuenta: nombre, email, contraseña (guardamos solo un hash, nunca la contraseña), condición frente al IVA, plan y rol. De cada sesión: la IP y el navegador. De cada aceptación de estos textos y de cada solicitud que nos mandás: la fecha y la IP.

De tu equipo: los miembros, sus roles y las invitaciones (con el email de cada invitado).

De los emisores que cargás: CUIT, razón social, domicilio, ingresos brutos y los demás datos fiscales; sus certificados y claves privadas de ARCA, y los tickets de acceso que entrega ARCA.

De los emisores, además: la categoría de monotributo que informa ARCA en la constancia de inscripción (la consultamos nosotros, ver abajo) o la que cargues a mano, y el mail del titular, si lo cargás, para mandarle avisos (ver "Avisos al titular del emisor").

De los comprobantes: todo lo que emitís, incluidos los datos del receptor (CUIT o DNI, nombre, domicilio y email).

También: tus plantillas y logos, los webhooks que configurás y el registro de sus entregas, los datos de tus cobros (identificadores de la suscripción y de los pagos en Mercado Pago, montos, fechas y plan), las solicitudes que nos mandás (arrepentimiento, baja, datos personales) y cómo navegás el sitio y el portal (ver "Analítica propia").

Para emitirte la Factura C de cada cobro usamos tu nombre, tu condición frente al IVA y, si nos los das, tu CUIT o DNI y tu domicilio.

No vemos ni guardamos los datos de tu tarjeta o medio de pago: los maneja Mercado Pago.

3. Para qué los usamos

Para prestarte el servicio (tu cuenta, emitir y consultar comprobantes ante ARCA, generar el PDF y mandarlo por mail si lo pedís), cobrar la suscripción y emitirte la Factura C, mandarte avisos operativos (certificados por vencer, cobros, cambios en estos textos), cuidar la seguridad y prevenir abusos, y mejorar el producto y corregir errores.

Para frenar bots: al registrarte te mandamos un mail para confirmar tu email (sin confirmarlo no podés ingresar), y el registro, el ingreso, la recuperación de la contraseña y los formularios públicos (arrepentimiento, baja y datos personales) pasan por una verificación anti-bots de Cloudflare Turnstile (ver "Con quién compartimos datos").

Tratamos los datos de tu cuenta, de tus emisores y comprobantes y de tus cobros porque son necesarios para cumplir el contrato (los Términos y condiciones) y nuestras obligaciones legales, en especial las fiscales. Para la transferencia internacional de tus datos y para la analítica nos basamos en tu consentimiento, que podés revocar cuando quieras escribiendo a hola@arcafactura.com (la analítica, además, la podés desactivar vos; ver "Analítica propia"). Revocarlo no afecta lo hecho antes, y si revocás el de la transferencia no vamos a poder seguir prestándote el servicio, porque se aloja fuera del país.

Los datos de la cuenta y los fiscales son necesarios: sin ellos no podemos prestarte el servicio, y si son inexactos los comprobantes pueden salir mal o ser rechazados por ARCA.

No vendemos tus datos ni los usamos para publicidad, propia o de terceros.

4. Monotributo: consulta al padrón y avisos al titular

Para decirte en qué categoría de monotributo está cada emisor y avisarte cuando se acerca al tope, hacemos una consulta periódica y automática al padrón de ARCA (la constancia de inscripción) de los CUIT de tu cuenta. Se hace con el certificado de tu propia cuenta o, si el CUIT lo representa otro, con el del representante. Guardamos el resultado (la categoría y la fecha de la consulta).

Avisos al titular del emisor: si cargás el mail del titular, le mandamos avisos sobre su monotributo (tope, recategorización y vencimiento de cuota). Los manda Resend, en nombre de tu cuenta. Vos sos responsable de contar con el consentimiento del titular para que le escribamos; nosotros usamos ese mail solo para esos avisos, no para otra cosa. Lo borramos cuando lo quitás o cuando se cierra la cuenta.

5. Datos de terceros que cargás

Cuando cargás datos de receptores, de tus clientes o de los contribuyentes para los que emitís, declarás que tenés una base legal para hacerlo (una relación comercial, una obligación fiscal o su consentimiento) y que les informaste lo necesario, incluido dónde se alojan sus datos (ver "Transferencias internacionales").

Respecto de esos datos, vos sos el responsable y arcafactura es el encargado del tratamiento (Ley 25.326, art. 25): los tratamos por tu cuenta y solo para prestarte el servicio, no los usamos para otro fin ni se los damos a nadie más que a los proveedores de esta política, que autorizás al aceptar los Términos. El detalle está en los Términos y condiciones ("Datos de tus clientes y receptores").

6. Claves privadas y certificados

En la bóveda, el certificado y la clave privada se guardan cifrados con AES-256-GCM. La clave de cifrado está fuera de la base de datos, en el entorno del servidor: con la base sola no se pueden usar.

Las claves nunca se devuelven por la API, no se muestran en el portal y no se registran en logs. Se usan solo para autenticarse ante ARCA y emitir o consultar lo que tu cuenta pide. Ninguna otra cuenta puede usarlas, salvo las cuentas que vos creaste y a las que les vinculás el certificado: en ese caso, quienes tengan rol para emitir en esas cuentas pueden emitir con él (la clave no se copia ni se les muestra).

Técnicamente, el prestador, como operador del servicio, tiene acceso a la clave de cifrado; no la usa para nada más que lo que tu cuenta pide.

En modo inline, el certificado y la clave viajan cifrados (HTTPS), se usan en memoria para ese pedido y no se guardan.

7. Analítica propia y grabación de sesiones

Usamos Umami, una herramienta de analítica instalada en un servidor propio en Argentina (no es un servicio de terceros). Mide las visitas (páginas, de dónde llegás, tipo de dispositivo, país, que estima con tu IP) y graba cómo navegás por el sitio y el portal (clics, desplazamientos y pantallas), para entender cómo se usa y corregir errores.

La grabación está enmascarada: está configurada para que no se vean los campos que completás, los secretos (API keys, claves, certificados) ni los datos de tus clientes y receptores; si detectamos que algo de eso quedó visible, lo corregimos. Las grabaciones se borran a los 90 días. No usa cookies y no se comparte con nadie.

Si no querés que te midamos ni te grabemos, usá el botón "Desactivar la analítica en este navegador" de la Política de cookies (arcafactura.com/cookies). Queda guardado en ese navegador: hay que hacerlo en cada navegador que uses.

8. Con quién compartimos datos

ARCA: los datos del emisor, el certificado para autenticarse y los datos de cada comprobante, que es lo que el servicio hace; las consultas al padrón que pedís y la consulta periódica y automática de la categoría de monotributo.

Mercado Pago: tu email, el plan y el monto, para cobrar la suscripción. Los datos de tu pago los trata Mercado Pago como responsable, según su propia política de privacidad.

Resend: el destinatario y el contenido de los mails que manda el servicio (confirmar tu email al registrarte, avisos, recuperar la contraseña, invitaciones, comprobantes a tus receptores y avisos a los titulares que cargues).

Oracle Cloud: aloja los servidores, la base de datos y la caché del servicio, donde están todos los datos.

Cloudflare: gestiona el DNS del dominio y reenvía los mails que nos mandás a nuestra casilla. Además, la verificación anti-bots (Cloudflare Turnstile) del registro, el ingreso, la recuperación de la contraseña y los formularios públicos: en esas páginas tu navegador carga un recuadro de Cloudflare, que analiza señales del navegador y tu IP para distinguir personas de bots y nos entrega el resultado; para confirmarlo, le mandamos ese resultado y tu IP. Cloudflare procesa esa verificación en Estados Unidos y otros países (red global de Cloudflare) y trata esos datos según su propia política de privacidad. Fuera de eso, el tráfico del servicio no pasa por Cloudflare, salvo la redirección de www.arcafactura.com al dominio principal.

Nuestra casilla de correo (Gmail): recibe los mails que nos mandás a hola@arcafactura.com y los avisos de tus solicitudes (arrepentimiento, baja, datos personales).

Copias de seguridad de la base de datos (copias diarias en un servidor propio del titular en Argentina (MinIO), por conexión cifrada; se conservan las últimas 14): copias de todos los datos del servicio, para recuperarlos ante una falla.

Acceso para soporte: el prestador, como operador, puede ver tu cuenta en modo soporte (solo lectura) para resolver problemas que reportes o que detectemos; no ve tus claves privadas.

Autoridades, solo cuando una ley o una orden judicial lo exija. A nadie más.

9. Transferencias internacionales

Los datos se alojan en servidores de Oracle Cloud en Brasil (región Vinhedo) y algunos se procesan en Estados Unidos (Resend, para mandar los mails; Cloudflare, para el DNS y el reenvío del correo de contacto, y para la verificación anti-bots en Estados Unidos y otros países (red global de Cloudflare)), además de donde estén nuestra casilla de correo y las copias de seguridad (ver "Con quién compartimos datos"). La AAIP no incluye a Brasil ni a Estados Unidos entre los países con un nivel de protección adecuado.

Al aceptar esta política das tu consentimiento expreso para la transferencia de tus datos a esos países (Ley 25.326, art. 12). Los datos de tus clientes y receptores que cargás se transfieren porque, como responsable de esos datos, nos autorizás a usar estos proveedores (ver "Datos de terceros que cargás"); tenés que informárselo a esas personas. Esos proveedores tratan los datos según sus propias condiciones de servicio y de protección de datos.

10. Cuánto tiempo los conservamos

Los comprobantes, 10 años, por la obligación fiscal de conservarlos, aunque des de baja la cuenta. Los registros de cobros y las Facturas C que te emitimos, como constancia de lo pagado a arcafactura. El registro de aceptación de estos textos y de tus solicitudes, como prueba de tu consentimiento y de que atendimos tu pedido; al suprimir la cuenta le borramos tu email, tu nombre y tu IP.

El registro de entregas de webhooks, 30 días. Las grabaciones de navegación, 90 días. Las sesiones y la caché vencen solas.

El mail del titular de un emisor, hasta que lo quitás o cerrás la cuenta.

Si te registrás y no confirmás tu email en 72 horas, borramos la cuenta y lo que se haya guardado de ella, salvo que ya tenga datos de uso (certificados, comprobantes, API keys, suscripción o pagos): esa no se borra. Las solicitudes que nos hayas mandado (arrepentimiento, baja, datos personales) se conservan igual, como se explica arriba.

Todo lo demás, mientras la cuenta exista o hasta que pidas la supresión.

11. Tus derechos

Podés pedir acceso a tus datos, su rectificación o actualización y su supresión, y revocar tu consentimiento. Muchos datos los podés cambiar vos desde el portal. Los comprobantes emitidos con CAE no se pueden modificar: se corrigen con una nota de crédito y un comprobante nuevo.

Para pedirlo, escribinos a hola@arcafactura.com desde el email de tu cuenta o usá el formulario de arcafactura.com/datos-personales. Podemos pedirte que acredites tu identidad. Respondemos el acceso dentro de los 10 días corridos y la rectificación o la supresión dentro de los 5 días hábiles.

La supresión borra tu cuenta y sus datos: el usuario, las sesiones y las API keys; membresías e invitaciones; certificados, claves privadas y representaciones de la bóveda; webhooks y sus entregas; los mails de titulares que cargaste; plantillas y logos; y cancela la suscripción de Mercado Pago. Se conservan, porque la ley obliga a conservarlos o porque son necesarios para defendernos ante un reclamo: (a) los comprobantes emitidos y los datos del emisor tal como figuran en ellos (si facturaste a tu nombre, incluyen tu nombre, tu CUIT y tu domicilio: son documentos fiscales); (b) las Facturas C que te emitimos por la suscripción, con tus datos tal como figuran en ellas, y los registros de tus pagos, asociados a un identificador interno; (c) el registro de que aceptaste estos textos y de tus solicitudes, del que borramos tu email, tu nombre y tu IP y que queda asociado a ese identificador interno. No usamos estos datos para nada más que esos fines.

Antes de borrar te avisamos para que descargues tu libro de ventas: conservar tus comprobantes es obligación tuya como emisor. La supresión se hace dentro del plazo aunque no lo descargues. No alcanza a las copias de seguridad, que se renuevan solas y no se restauran salvo ante un incidente; a las grabaciones de navegación, que se borran a los 90 días; a los mails que nos mandaste, que quedan en nuestra casilla; ni al historial de envíos de Resend, que este borra según sus propios plazos.

El titular de los datos personales tiene la facultad de ejercer el derecho de acceso a los mismos en forma gratuita a intervalos no inferiores a seis meses, salvo que se acredite un interés legítimo al efecto conforme lo establecido en el artículo 14, inciso 3 de la Ley N° 25.326. La Agencia de Acceso a la Información Pública, en su carácter de Órgano de Control de la Ley N° 25.326, tiene la atribución de atender las denuncias y reclamos que interpongan quienes resulten afectados en sus derechos por incumplimiento de las normas vigentes en materia de protección de datos personales.

12. Seguridad

Todo el tráfico va por HTTPS, las contraseñas se guardan con hash y las claves privadas, cifradas. El acceso a los servidores está restringido.

Ningún sistema es infalible. Si un incidente afecta tus datos, te avisamos por mail sin demora, en lo posible dentro de las 72 horas desde que lo detectamos, con lo que pasó y qué podés hacer.

13. Menores

El servicio es para mayores de 18 años y empresas. No recolectamos a sabiendas datos de menores como usuarios.

14. Cookies

Usamos solo cookies necesarias para el funcionamiento del portal. La verificación anti-bots corre en un recuadro de Cloudflare Turnstile. El detalle, y cómo desactivar la analítica, están en la Política de cookies.

15. Cambios a esta política

Cada versión tiene su fecha. Si cambia, te avisamos por mail, con al menos 30 días de anticipación cuando el cambio te perjudique, y el portal te pide aceptar la versión nueva antes de seguir; hasta que la aceptes, rige la anterior. Consultas: hola@arcafactura.com.