Política de privacidad

Traducción de cortesía. La versión alemana es vinculante.

Política de privacidad de ERPM

Actualización: julio de 2026

1. Responsable del tratamiento

GMI GmbH

Theodor-Rehbock-Straße 3

76131 Karlsruhe, Alemania

Representada por el administrador Sayed Hadi Mortazavi

Correo electrónico: info@gmitso.de · Web: www.gmitso.de

Teléfono: +49 (0)721 15659119

Esta política se aplica a la aplicación ERPM (Windows, macOS, iOS, Android), al servicio en la nube de ERPM junto con su portal web y al sitio web del producto.

2. Principio básico: sus datos son suyos

ERPM es un software de gestión de pedidos y almacén. Sin una cuenta en línea, ERPM funciona totalmente en local: todos los datos de empresa (clientes, pedidos, artículos, proveedores, almacén, contabilidad, documentos) permanecen exclusivamente en su dispositivo y se almacenan allí cifrados (SQLCipher, AES-256). En ese caso —salvo los servicios opcionales indicados en el punto 7— no se nos transmite ningún dato.

Solo cuando crea una cuenta en línea y utiliza la sincronización en la nube se transmiten datos a nuestro servidor.

3. Cuenta en línea y sincronización en la nube

Al utilizar la cuenta en línea tratamos:

• Datos de la cuenta: dirección de correo electrónico, nombre, contraseña (exclusivamente como hash) y, opcionalmente, los ajustes de la autenticación de dos factores.
• Datos del inquilino y de la licencia: razón social del inquilino, plan contratado, número de plazas/dispositivos, espacio consumido, duración.
• Datos de empresa de su inquilino: los datos que usted registra en ERPM (p. ej. clientes, pedidos, facturas, artículos, documentos), en la medida en que haya activado la sincronización.
• Datos de registro: momentos de inicio de sesión, sesiones, eventos relevantes para la seguridad y cambios de contenido (registro de auditoría) con fines de trazabilidad y prevención de abusos.

Fines: prestación del servicio, sincronización entre sus dispositivos, archivo de documentos, gestión de usuarios y permisos, gestión de licencias y facturación.

Bases jurídicas: art. 6 apdo. 1 letra b RGPD (ejecución del contrato); para los registros de seguridad, art. 6 apdo. 1 letra f RGPD (interés legítimo en una explotación segura).

4. Reparto de funciones y encargo del tratamiento

Respecto de los datos de cuenta de nuestros usuarios somos responsables del tratamiento en el sentido del RGPD. Respecto de los datos de empresa registrados en ERPM (p. ej. datos de sus clientes y proveedores), el responsable es usted como nuestro cliente; nosotros tratamos esos datos exclusivamente por encargo suyo, en calidad de encargados del tratamiento (art. 28 RGPD). Pondremos a su disposición un contrato de encargo del tratamiento previa solicitud en info@gmitso.de.

5. Alojamiento

El servidor de ERPM se explota en un centro de datos de Contabo GmbH (Aschauer Straße 32a, 81549 Múnich, Alemania). La ubicación del servidor es Alemania; el alojamiento no implica ninguna transferencia a terceros países. Con el proveedor existe un contrato de encargo del tratamiento.

6. Seguridad

• Transmisión exclusivamente cifrada mediante TLS (HTTPS).
• Base de datos local cifrada con SQLCipher (AES-256).
• En el servidor, los contenidos de campos sensibles y los archivos de documentos se almacenan con un cifrado adicional (AES-256-GCM).
• Separación estricta de inquilinos; los accesos se basan en roles (incluidos los accesos restringidos de clientes y proveedores) y se registran.
• Las contraseñas se almacenan únicamente como hash con sal; bloqueo de la cuenta tras intentos fallidos repetidos; autenticación de dos factores (TOTP) disponible.
• Copias de seguridad diarias del servidor; las copias locales puede crearlas usted mismo en cualquier momento.

7. Destinatarios y servicios de terceros

Solo comunicamos datos en la medida necesaria para la ejecución del contrato. No se venden datos.

• Tramitación de pagos (Stripe): al contratar una suscripción o adquirir una licencia, el pago se realiza a través de Stripe Payments Europe, Ltd. (Irlanda) y Stripe, Inc. (EE. UU.; certificada conforme al EU-US Data Privacy Framework). Los datos de pago (p. ej. los datos de la tarjeta) se recogen directamente en Stripe y no llegan a nuestros servidores; de Stripe recibimos el estado del pago y la duración de la suscripción. Base jurídica: art. 6 apdo. 1 letra b RGPD.
• Envío de correo electrónico: los correos del sistema (p. ej. restablecimiento de contraseña, invitaciones) y el envío de documentos desde la aplicación se cursan a través del proveedor SMTP configurado. Si utiliza un SMTP propio del inquilino, su proveedor es un prestador suyo.
• Notificaciones push (opcionales): si están activadas, las notificaciones push se entregan a través de Firebase Cloud Messaging (Google Ireland Ltd. / Google LLC, EE. UU.; certificada DPF). A tal fin se almacena un token de dispositivo seudonimizado.
• Tipos de cambio: al utilizar la función de moneda extranjera, la aplicación consulta los tipos de referencia del BCE a través de api.frankfurter.app. Solo se transmiten códigos de moneda, ningún dato personal.
• Tiendas de aplicaciones: al obtener la aplicación en Apple App Store, Google Play o Microsoft Store, los operadores de la tienda tratan datos bajo su propia responsabilidad y conforme a sus propias políticas de privacidad.

8. Identificación del dispositivo y licencias

Para hacer valer el límite de dispositivos, la aplicación genera un identificador de dispositivo seudonimizado y deriva de él un código de dispositivo. Al utilizar la cuenta en línea, el identificador de dispositivo, el nombre del dispositivo y el momento del último uso se almacenan asociados al inquilino; los dispositivos registrados pueden consultarse y eliminarse en la aplicación y en el portal. En las licencias offline vinculadas a un dispositivo, el código de dispositivo pasa a formar parte del archivo de licencia firmado. Bases jurídicas: art. 6 apdo. 1 letras b y f RGPD.

9. Diagnóstico e informes de fallo

Los informes de fallo y de error (mensaje técnico de error, versión de la aplicación, sistema operativo, extracto del registro de errores) y sus comentarios mediante «Informar de un problema» solo se transmiten si la función de diagnóstico está activada; puede desactivarla en cualquier momento en los ajustes (Diagnóstico y comentarios). Base jurídica: art. 6 apdo. 1 letra a RGPD (consentimiento). La finalidad es exclusivamente la corrección de errores y la mejora del producto.

10. Portal web y sitio web

El portal y el sitio web no utilizan servicios de análisis, seguimiento o publicidad ni cookies de seguimiento. En el navegador solo se almacena localmente lo técnicamente necesario (token de sesión, elección de idioma, ajustes de visualización). Al acceder, el servidor trata los datos de conexión habituales (dirección IP, momento, recurso solicitado) en registros de servidor de corta duración, para la seguridad de la explotación (art. 6 apdo. 1 letra f RGPD).

11. Plazo de conservación

Los datos permanecen almacenados mientras exista su cuenta o su inquilino. Al eliminar el inquilino se suprimen todos los datos del servidor asociados; las copias de seguridad rotan automáticamente y se sobrescriben en poco tiempo. A los datos de facturación y contabilidad pueden aplicarse obligaciones legales de conservación (§ 147 AO, § 257 HGB, hasta 10 años); su cumplimiento le corresponde a usted como responsable de sus datos de empresa. Los datos locales de sus dispositivos los elimina usted mismo.

12. Sus derechos

Tiene derecho de acceso (art. 15 RGPD), rectificación (art. 16), supresión (art. 17), limitación del tratamiento (art. 18), portabilidad de los datos (art. 20) y oposición (art. 21 RGPD). Un consentimiento otorgado puede retirarse en cualquier momento con efectos para el futuro. Una exportación completa de los datos de su inquilino está disponible en todo momento en la aplicación o en el portal, incluso sin una licencia válida.

Además, tiene derecho a presentar una reclamación ante una autoridad de control de protección de datos. La competente para nosotros es: Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, Alemania.

13. Sin decisiones automatizadas

No se produce ninguna decisión automatizada, incluida la elaboración de perfiles, en el sentido del art. 22 RGPD.

14. Modificaciones

Adaptamos esta política cuando cambian las funcionalidades o el marco jurídico. La versión vigente está disponible en la aplicación (Aviso legal), en el portal y en el sitio web del producto.

15. Contacto

Consultas sobre protección de datos: GMI GmbH, Theodor-Rehbock-Straße 3, 76131 Karlsruhe · info@gmitso.de