Legal

Política de privacidad

PrivacidadTérminosCookiesEliminar cuenta

1. Responsable del tratamiento

El responsable del tratamiento de tus datos personales es Noa, accesible a través de heynoa.es. Para cualquier consulta relacionada con la protección de datos, puedes escribirnos a hola@heynoa.es.

2. Qué datos recogemos

Recogemos y tratamos los siguientes tipos de datos:

  • Datos de cuenta: email, contraseña (cifrada), nombre y datos fiscales que configures en tu perfil de emisor.
  • Datos financieros: transacciones bancarias sincronizadas vía Enable Banking (PSD2), facturas emitidas y recibidas, y datos de conciliación.
  • Datos de contactos: nombre, NIF, email, teléfono y dirección de tus clientes y proveedores que registres en el CRM.
  • Datos de calendario: eventos sincronizados desde Google Calendar o Apple Calendar, y eventos creados dentro de Noa.
  • Datos de correo: si conectas tu Gmail, los correos de tu bandeja (remitente, asunto, cuerpo y adjuntos) para mostrártelos en Noa y enviar desde tu cuenta.
  • Datos de uso: interacciones con Noa IA (conversaciones con el asistente), preferencias y configuración de la plataforma.
  • Datos técnicos: dirección IP, tipo de dispositivo y navegador, para garantizar la seguridad de tu cuenta.

3. Cómo recogemos tus datos

Directamente de ti

Cuando creas tu cuenta, configuras tu perfil, añades contactos, creas facturas o interactúas con Noa IA.

Mediante integraciones autorizadas

Cuando conectas tu banco a través de Enable Banking (protocolo PSD2), autorizas el acceso de solo lectura a tus movimientos bancarios. Noa no puede realizar operaciones ni acceder a tus credenciales bancarias. Puedes revocar este acceso en cualquier momento desde tu banca online.

Cuando conectas Google Calendar o Apple Calendar, sincronizamos tus eventos para mostrártelos en el calendario de Noa. Solo accedemos a los calendarios que selecciones.

Cuando conectas Gmail, Noa muestra tu bandeja dentro de la app, te permite responder y enviar facturas, presupuestos y recordatorios desde tu propia dirección, marcar correos como leídos o archivarlos, y detectar las facturas de proveedores que te llegan por correo para guardarlas en tus gastos. Noa no borra correos de forma definitiva. Puedes desconectar Gmail en cualquier momento desde Ajustes o desde tu cuenta de Google.

Mediante procesamiento con IA

Utilizamos modelos de inteligencia artificial para ofrecerte funcionalidades avanzadas:

  • Kimi (servido por Fireworks AI, EE.UU.): procesa las conversaciones con Noa IA para responder tus preguntas, crear facturas y gestionar tu negocio.
  • Gemini (Google): clasifica automáticamente tus transacciones bancarias por categoría (alimentación, transporte, suscripciones, etc.) y, si conectas Gmail, resume y clasifica los correos que abres para detectar facturas y la intención del mensaje.

Estos servicios procesan tus datos de forma transitoria. Conforme a los acuerdos de tratamiento de datos suscritos con cada proveedor, no utilizan el contenido de Noa para entrenar sus modelos.

Uso limitado de los datos de Google

El uso que Noa hace de la información recibida de las API de Google, y su transferencia a cualquier otra aplicación, se ajusta a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado. En concreto, los datos de Gmail y Google Calendar:

  • Solo se usan para ofrecerte las funciones de Noa que tú ves y activas (bandeja, envío, calendario y detección de facturas).
  • No se venden ni se ceden a terceros, salvo a los proveedores que los procesan para esas mismas funciones, con contrato de tratamiento de datos.
  • No se usan para publicidad ni para entrenar modelos de inteligencia artificial generales.
  • Ninguna persona del equipo de Noa los lee, salvo que nos des tu consentimiento expreso para resolver una incidencia, que sea necesario por seguridad o que lo exija la ley.

4. Para qué usamos tus datos

  • Gestionar tu cuenta y autenticación.
  • Sincronizar y clasificar tus transacciones bancarias.
  • Generar y enviar facturas a tus clientes.
  • Estimar tus obligaciones fiscales trimestrales.
  • Detectar suscripciones, traspasos y anomalías financieras.
  • Ofrecer asistencia personalizada a través de Noa IA.
  • Sincronizar eventos de calendario.
  • Enviarte notificaciones sobre facturas impagadas, vencimientos y alertas configuradas.
  • Mejorar el servicio y desarrollar nuevas funcionalidades.

5. Base legal del tratamiento

  • Ejecución del contrato: el tratamiento es necesario para prestarte el servicio.
  • Consentimiento: para integraciones opcionales (banco, calendario, Telegram).
  • Interés legítimo: para mejorar el producto y prevenir fraude.

6. Con quién compartimos tus datos

No vendemos ni cedemos tus datos a terceros. Solo compartimos datos con:

  • Supabase (base de datos y autenticación): almacena tus datos con cifrado en tránsito y en reposo. Servidores en la UE.
  • Enable Banking (PSD2): intermediario regulado para la conexión bancaria de solo lectura.
  • Fireworks AI, Inc. (modelo Kimi): procesa las conversaciones con Noa IA. Servidores en EE.UU. En virtud del acuerdo de tratamiento de datos suscrito, no utiliza el contenido para entrenar sus modelos.
  • Google (Gemini + Calendar): clasificación de transacciones y sincronización de calendario.
  • Apple (CalDAV): sincronización de calendario vía protocolo estándar.
  • Nodemailer (SMTP): envío de facturas y notificaciones por email.
  • Stripe Payments Europe, Ltd. (pagos): procesa el pago de las suscripciones Pro y Empresas. Recibe tu email, nombre y los datos de la tarjeta; Noa no almacena los datos de tu tarjeta.
  • Administraciones tributarias, por obligación legal y solo cuando aplica a tu territorio: la Agencia Tributaria (Verifactu) o la Hacienda Foral de tu diputación en el País Vasco (TicketBAI). Reciben los registros de las facturas que emites, firmados con tu certificado digital.

7. Dónde almacenamos tus datos

Tus datos se almacenan en servidores de Supabase ubicados en la Unión Europea. La aplicación web se ejecuta en un servidor VPS en Europa. Las transferencias de datos a proveedores fuera de la UE (Fireworks AI y Google, ambos en EE.UU.) se realizan bajo cláusulas contractuales tipo (SCC) aprobadas por la Comisión Europea, incorporadas en los acuerdos de tratamiento de datos suscritos con cada proveedor.

8. Durante cuánto tiempo conservamos tus datos

  • Datos de cuenta: mientras mantengas tu cuenta activa.
  • Transacciones y facturas: durante el tiempo requerido por la legislación fiscal española (mínimo 4 años).
  • Conversaciones con Noa IA: 90 días desde la última interacción.
  • Logs técnicos: máximo 30 días.

Puedes eliminar tu cuenta en cualquier momento desde Ajustes (en la web o en la app). Te explicamos qué se borra y qué se conserva en Eliminar tu cuenta.

9. Tus derechos

Como usuario, tienes derecho a:

  • Acceso: solicitar una copia de todos tus datos personales.
  • Rectificación: corregir datos inexactos o incompletos.
  • Supresión: solicitar la eliminación de tus datos.
  • Portabilidad: recibir tus datos en un formato estructurado y legible.
  • Oposición: oponerte al tratamiento de tus datos.
  • Limitación: solicitar la restricción del tratamiento.
  • Revocación del consentimiento: retirar tu consentimiento en cualquier momento.

Para ejercer cualquiera de estos derechos, escribe a hola@heynoa.es. Responderemos en un plazo máximo de 30 días. También puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD).

10. Seguridad

Aplicamos medidas técnicas y organizativas para proteger tus datos:

  • Cifrado HTTPS/TLS en todas las comunicaciones.
  • Autenticación mediante JWT con tokens de acceso y refresco.
  • Row Level Security (RLS) en la base de datos: cada usuario solo puede acceder a sus propios datos.
  • Cookies httpOnly para evitar acceso desde JavaScript malicioso.
  • Contraseñas cifradas con bcrypt — nunca se almacenan en texto plano.
  • Acceso bancario de solo lectura mediante protocolo PSD2 regulado.

11. Cookies y almacenamiento local

Noa usa cookies técnicas (necesarias para tu sesión) y, solo si aceptas el banner, analítica anónima propia (PostHog, servidores en la UE). No usamos cookies de terceros publicitarios — ni Google Analytics, ni Facebook Pixel, ni similares.

Tipos de cookies/almacenamiento que usamos:

  • Cookies técnicas (siempre): sb-access-token y sb-refresh-token (Supabase Auth, httpOnly).
  • Cookie funcional: noa_cookie_consent que recuerda tu preferencia 12 meses.
  • Cookies analítica (opt-in): ph_* de PostHog. Solo se instalan si aceptas en el banner.
  • localStorage: preferencias de UI (orden de widgets, vista activa). No se envía a servidores.

Respetamos la señal Global Privacy Control (GPC): si tu navegador la envía, tratamos automáticamente como rechazo de analítica sin necesidad de mostrar el banner.

Para detalles completos (tabla de cookies, duraciones y cambio de preferencia), consulta /cookies. Puedes cambiar tu consentimiento en cualquier momento desde esa página.

12. Funcionalidades futuras

Noa está en desarrollo activo. En el futuro incorporaremos interfaces de voz, un dispositivo físico (hardware) y nuevas integraciones. Antes de activar cualquier funcionalidad que requiera nuevos tipos de datos, te informaremos y solicitaremos tu consentimiento.

13. Cambios en esta política

Podemos actualizar esta política periódicamente. Te notificaremos de cualquier cambio significativo a través de la plataforma o por email. La fecha de última actualización aparece al final de este documento.

Última actualización: 29 de octubre de 2026