Seguridad y protección de datos
Exactamente qué pasa con un extracto desde que lo subes hasta que se borra. Sin letra pequeña.
- Lo subes. Viaja cifrado (HTTPS) a nuestros servidores en la Unión Europea.
- Lo leemos en memoria. El PDF no se escribe en disco ni se guarda. Si es un escaneado o una foto, la lectura con IA también se hace en la UE.
- Guardamos el resultado cifrado. Los movimientos, con AES-256-GCM, el tiempo que elijas: nada (descarga inmediata), 1 hora (por defecto), 7 o 30 días.
- Se borra solo. Al vencer el plazo, el resultado se elimina. Queda un registro sin contenido: fecha, páginas, banco y si cuadró.
Lo que nunca hacemos
- Enviar contenido de extractos fuera de la UE, tampoco a modelos de IA.
- Usar tus extractos para entrenar modelos o para cualquier fin propio.
- Escribir IBAN completos, titulares, importes o conceptos en los registros técnicos.
- Guardar la contraseña de un PDF protegido.
- Usar cookies de seguimiento.
Medidas técnicas
- Cifrado en tránsito (TLS) y en reposo (AES-256-GCM), con la clave separada de la base de datos.
- Contraseñas con argon2id. Sesiones en cookies seguras httpOnly, protección CSRF.
- Enmascarado automático de IBAN, importes y NIF en cualquier registro técnico.
- Errores de la aplicación en una instancia propia, sin variables ni contenido de las peticiones.
- Prueba sin registro: resultado borrado a los 30 minutos.
Subencargados
Quién más interviene, para qué, dónde y si ve contenido de extractos. Solo proveedores de la UE pueden acceder a extractos.
| Proveedor | Función | Ubicación | ¿Ve extractos? |
|---|---|---|---|
| Arsys Internet, S.L.U. Procesa los extractos en memoria y guarda los resultados cifrados. | Servidores donde se ejecuta Extracta y su base de datos | España | Sí (en la UE) |
| Amazon Web Services EMEA (Amazon Bedrock) El modelo se ejecuta dentro de AWS en la UE; Anthropic no recibe los extractos. No se usan para entrenar modelos. Con PDF que tienen texto solo recibe el texto, nunca el fichero. | Lectura con IA (modelo Claude) de extractos escaneados y fotos, y respaldo cuando el lector no cuadra un PDF | Regiones de AWS en la UE | Sí (en la UE) |
| Amazon Web Services EMEA (Amazon SES) Solo si el despacho activa su buzón. Entrega el correo a Extracta y no lo conserva. | Recepción del buzón por email del despacho | Región de AWS en la UE | Sí (en la UE) |
| Arsys Internet, S.L.U. | Envío de correos de cuenta (enlaces de acceso, avisos) | España | No |
| Stripe Payments Europe | Cobros con tarjeta y SEPA | Irlanda (con transferencias a EE. UU. bajo garantías) | No |
| Plausible Analytics | Estadísticas de visitas sin cookies | UE | No |
| Cloudflare (Turnstile) Recibe la IP y señales del navegador; nunca ficheros. | Comprobación antiabuso en la prueba sin registro | Global | No |
Te avisaremos con 30 días de antelación antes de añadir o cambiar un subencargado con acceso a extractos.
Documentos
- Contrato de encargado del tratamiento (art. 28 RGPD), público y sin registro.
- Política de privacidad
- Qué debe exigir un despacho a sus proveedores
¿Dudas o una evaluación de proveedor que rellenar? Escríbenos a hola@extracta.es.
Si no cuadra, no se cobra
Comprobamos cada saldo. Las páginas de un extracto que no cuadra no cuentan en tu plan.
100 % procesado en la UE
Ni siquiera la IA que lee escaneados sale de la Unión Europea. El PDF no se guarda. Cómo tratamos tus datos.