Última actualización: 18 de septiembre de 2026

Esta política explica cómo Lean Finance trata la información utilizada por Leanvoice, incluidas las credenciales de portales de proveedores y los datos obtenidos de las APIs de Google cuando una persona conecta una cuenta de Gmail.

1. Quiénes somos

Lean Finance, S.L., con NIF B90343765 y domicilio en Avda. de la Constitución 26, planta 4, 41004 Sevilla, España, es la entidad que presta Leanvoice.

• Protección de datos y ejercicio de derechos: rgpd@leanfinance.es
• Contacto general: hola@leanfinance.es
• Delegado de Protección de Datos: Grupo Ático34, S.L. — lopd-gdd@atico34.com

Leanvoice es un servicio para empresas y profesionales. Recoge facturas de proveedor desde fuentes autorizadas, extrae sus datos y prepara información contable para su revisión.

2. Nuestro papel en el tratamiento

En relación con el contenido del buzón conectado, las facturas y los datos contables del cliente:

• el cliente es el responsable del tratamiento; y
• Lean Finance actúa como encargado del tratamiento, siguiendo las instrucciones documentadas del cliente y el contrato correspondiente.

Lean Finance actúa como responsable del tratamiento respecto de los datos necesarios para administrar la relación contractual y el acceso a la plataforma, como los datos de contacto profesional, usuarios, facturación, soporte y seguridad.

El cliente debe asegurarse de que las personas que conecten cuentas de correo o portales de proveedores estén facultadas para ello y de haber facilitado la información necesaria a los usuarios afectados.

3. Datos que tratamos

3.1 Datos de las cuentas conectadas

• dirección de correo electrónico o usuario de acceso al portal del proveedor;
• contraseña y, cuando el cliente la facilita, semilla del segundo factor de autenticación del portal;
• cookies, almacenamiento local y otros datos técnicos de la sesión del portal necesarios para conservar la autenticación;
• estado de la conexión;
• identificadores técnicos necesarios para gestionar la autorización; y
• registros de conexión, desconexión y actividad relevante.

Las contraseñas, semillas de segundo factor, tokens y sesiones portadoras se tratan como secretos. Las credenciales se guardan en un gestor cifrado y aislado, no en la base de datos general de la plataforma.

3.2 Datos obtenidos mediante Gmail

Leanvoice ejecuta búsquedas dirigidas para localizar mensajes que puedan contener facturas en PDF. Las búsquedas pueden incluir el proveedor, una ventana de fechas, remitentes conocidos, términos asociados y la presencia de adjuntos PDF.

Para los mensajes que coinciden con la búsqueda, la API de Gmail facilita la estructura técnica del mensaje. Leanvoice trata los datos necesarios para identificar y descargar los adjuntos, entre ellos:

• identificadores técnicos del mensaje y del adjunto;
• nombre y tipo del fichero;
• cabeceras como asunto y remitente, tratadas de manera transitoria para localizar la factura; y
• contenido del PDF adjunto.

El cuerpo del mensaje no forma parte de la información que Leanvoice conserva o utiliza para la prestación ordinaria del servicio. No se almacena de forma persistente ni se comunica a Anthropic o a la plataforma contable.

Leanvoice no realiza una copia general del buzón y no accede a Contactos, Calendar, Drive ni a otros productos de Google mediante esta autorización.

3.3 Datos de la factura

Leanvoice puede conservar y tratar:

• el PDF de la factura y su nombre de fichero;
• una huella criptográfica utilizada para detectar duplicados;
• emisor y destinatario;
• NIF u otros identificadores fiscales;
• número y fecha de factura;
• bases imponibles, impuestos, retenciones, total y divisa;
• líneas, conceptos y propuestas de clasificación contable; y
• estado del documento y resultado de su revisión.

Las facturas pueden contener datos personales de proveedores, profesionales, empleados o personas de contacto. Lean Finance los trata únicamente para prestar el servicio solicitado por el cliente.

4. Permiso de Google solicitado

Leanvoice solicita un único permiso:

https://www.googleapis.com/auth/gmail.readonly

Lo utilizamos para ejecutar búsquedas acotadas, localizar mensajes con posibles facturas en PDF y descargar esos adjuntos. Un permiso de metadatos no permite descargar el documento y, por ello, no basta para prestar esta funcionalidad.

El permiso es de solo lectura. Leanvoice no puede utilizarlo para enviar, responder, modificar, etiquetar, mover o eliminar mensajes.

No solicitamos permisos de escritura de Gmail ni permisos de Google Contacts, Calendar o Drive.

5. Para qué utilizamos los datos

Utilizamos la información exclusivamente para:

• autenticar y mantener la conexión autorizada por el usuario;
• iniciar sesión en los portales de proveedores autorizados y localizar o descargar las facturas;
• localizar y descargar facturas desde el buzón conectado;
• detectar documentos duplicados;
• extraer y estructurar los datos fiscales y contables del PDF;
• preparar borradores y propuestas de clasificación o conciliación;
• incorporar el PDF y sus datos a la plataforma contable autorizada por el cliente;
• permitir que personal autorizado revise la factura y el resultado preparado;
• prestar soporte y resolver incidencias; y
• proteger el servicio, prevenir abusos y mantener trazabilidad técnica.

No utilizamos los datos de Google para publicidad, creación de perfiles publicitarios, venta de datos, concesión de crédito ni finalidades ajenas a Leanvoice.

6. Declaración de Uso Limitado de Google

Leanvoice’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

El uso y la transferencia que Leanvoice haga a cualquier otra aplicación de la información recibida de las APIs de Google se ajustarán a la Google API Services User Data Policy, incluidos sus requisitos de Uso Limitado.

En particular:

• no usamos ni transferimos datos de Google para publicidad;
• no vendemos esos datos;
• no los utilizamos para determinar solvencia o conceder crédito;
• no los utilizamos para desarrollar, entrenar o mejorar modelos de inteligencia artificial de propósito general; y
• solo los comunicamos cuando es necesario para proporcionar o mejorar la funcionalidad solicitada por el usuario y con su autorización, por motivos de seguridad, para cumplir la ley o, previo consentimiento expreso cuando resulte exigido por la política de Google, como parte de una operación corporativa.

7. Inteligencia artificial

Leanvoice utiliza un modelo de inteligencia artificial de Anthropic PBC para extraer información del documento. El PDF se procesa con la finalidad concreta de devolver los campos necesarios para preparar la factura y su tratamiento contable.

Lean Finance utiliza una cuenta comercial de organización, sujeta a las condiciones comerciales y al Data Processing Addendum de Anthropic, con la compartición para entrenamiento desactivada. Los documentos y resultados de Leanvoice no se utilizan para entrenar modelos generales.

Además del PDF, los componentes técnicos pueden tratar identificadores operativos e instrucciones necesarias para ejecutar y controlar la extracción. Leanvoice no envía a Anthropic el cuerpo del correo, la contraseña de Google ni el token que permite acceder al buzón.

8. Acceso humano

La búsqueda de mensajes y la descarga de adjuntos son procesos automatizados. El personal de Lean Finance no dispone de acceso general al buzón conectado.

El personal autorizado de Lean Finance puede consultar el PDF de una factura y los datos extraídos cuando sea necesario para:

• revisar o validar el borrador dentro del servicio contratado;
• prestar el servicio contable solicitado por el cliente;
• resolver una incidencia comunicada por el usuario;
• investigar un incidente de seguridad; o
• cumplir una obligación legal.

Al conectar una cuenta después de recibir esta información, el usuario solicita expresamente la recogida y tratamiento de las facturas y autoriza esta revisión limitada de los PDF. El acceso no se extiende a otros correos ni permite navegar libremente por el buzón.

En los portales de proveedores, la autorización se limita igualmente a la autenticación y a las acciones necesarias para localizar y obtener las facturas de la cuenta conectada. No utilizamos la credencial para operaciones ajenas a Leanvoice.

Cuando una incidencia exija examinar un mensaje concreto y no solo el PDF, solicitaremos previamente la autorización del usuario para ese mensaje, salvo que el acceso resulte necesario por seguridad o por una obligación legal.

9. Proveedores y destinatarios

Para prestar Leanvoice pueden intervenir los siguientes proveedores o destinatarios:

Entidad	Función	Datos tratados
Hetzner Online GmbH	Infraestructura privada donde se ejecutan componentes de Leanvoice y se almacenan documentos y datos operativos.	PDF, datos extraídos, base de datos y gestor de credenciales.
Anthropic PBC	Extracción de información del PDF mediante inteligencia artificial.	PDF e información operativa necesaria para la ejecución; no recibe acceso a Gmail.
Supabase	Base de datos de la plataforma de usuario.	Dirección de la cuenta conectada, estado e identificadores de la conexión; no almacena el token de Gmail ni el contenido del correo.
Holded / Visma	Plataforma contable de destino cuando ha sido autorizada por el cliente.	PDF y datos fiscales y contables de la factura.
Google Ireland Limited / Google LLC	Proveedor del buzón y de la API utilizada por autorización del usuario.	Datos propios de la cuenta de Google y de Gmail.

Las credenciales y autorizaciones de acceso a Gmail y a portales de proveedores se guardan en un gestor de credenciales dedicado y autoalojado en la infraestructura de Lean Finance. No se guardan en la base de datos general de la plataforma ni se envían a Anthropic o Holded.

Anthropic puede tratar datos en Estados Unidos. La transferencia se ampara en su DPA y en las Cláusulas Contractuales Tipo aplicables. Los demás proveedores tratarán los datos en las ubicaciones previstas en sus contratos y configuraciones de servicio.

El cliente puede solicitar información actualizada sobre subencargados escribiendo a rgpd@leanfinance.es. Cuando proceda contractualmente, comunicaremos con antelación los cambios que afecten al tratamiento de los datos de Google.

10. Conservación y eliminación

Aplicamos los siguientes criterios:

• Cuerpo del correo: no se conserva de forma persistente.
• Asunto y remitente: se tratan transitoriamente durante la consulta y no se incorporan a la ficha de la factura.
• Credencial de Gmail: se conserva mientras la conexión permanezca activa. Al desconectar desde Leanvoice solicitamos a Google la revocación de la autorización, eliminamos la credencial guardada y dejamos de realizar nuevas consultas.
• Credencial de un portal de proveedor: se conserva mientras la conexión permanezca activa. Al desconectar eliminamos la credencial del cofre y la cuenta deja de entrar en nuevas recogidas.
• Dirección y estado de la conexión: se eliminan al desconectar, salvo el registro mínimo necesario para acreditar la operación o atender responsabilidades.
• PDF y datos extraídos: se conservan mientras el servicio esté activo y se eliminan en un plazo máximo de 90 días desde su terminación, salvo que el cliente solicite su devolución o eliminación anterior o exista una obligación legal aplicable.
• Registros operativos y de seguridad: se conservan durante el tiempo necesario para proteger el servicio, investigar incidentes y acreditar operaciones, conforme a los plazos internos y legales aplicables. Estos registros no deben reproducir el cuerpo de los correos.

Los documentos que ya hayan sido incorporados a Holded u otra plataforma del cliente no se eliminan de esa plataforma al desconectar Gmail. Su conservación y eliminación se rigen por las instrucciones del cliente, su contrato con la plataforma y las obligaciones contables o tributarias aplicables.

11. Cómo retirar el acceso o pedir la eliminación

El usuario puede:

1. Desconectar un portal de proveedor desde Leanvoice. Eliminamos su credencial del cofre y cesan las nuevas recogidas de esa cuenta.
2. Desconectar Gmail desde Leanvoice. Solicitamos la revocación a Google, eliminamos la credencial guardada y cesan las nuevas consultas.
3. Revocar directamente desde Google. Como vía adicional, puede seleccionar Leanvoice y retirar el acceso en myaccount.google.com/permissions.
4. Solicitar la devolución o eliminación de datos, escribiendo a rgpd@leanfinance.es desde una dirección que permita verificar su relación con el cliente.

La solicitud puede referirse a documentos concretos, a un período o a la totalidad de los datos tratados por Leanvoice. La eliminación no abarcará datos que deban conservarse por una obligación legal ni los que se encuentren en sistemas de terceros controlados directamente por el cliente.

12. Seguridad

Lean Finance aplica medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

• control de acceso y separación de funciones;
• credenciales almacenadas en un gestor dedicado;
• cifrado autenticado de los PDF almacenados;
• comunicaciones cifradas mediante TLS;
• separación lógica de la información por cliente;
• permisos diferentes para los componentes según su función;
• registros de seguridad y actividad; y
• pruebas y revisiones de seguridad.

Ningún sistema conectado a Internet puede garantizar una seguridad absoluta. Si detectas un posible incidente relacionado con Leanvoice, comunícalo a rgpd@leanfinance.es.

13. Bases jurídicas

Cuando Lean Finance actúa como responsable, las bases jurídicas pueden ser:

• la ejecución del contrato o la aplicación de medidas precontractuales;
• el cumplimiento de obligaciones legales;
• el interés legítimo en proteger el servicio y prevenir fraudes; y
• el consentimiento, cuando sea exigible para una funcionalidad concreta.

Cuando Lean Finance actúa como encargado, trata los datos conforme a las instrucciones documentadas del cliente y al contrato de encargo del artículo 28 del RGPD. La autorización OAuth de Google acredita, además, que el usuario ha permitido técnicamente el acceso solicitado a esa cuenta.

La aceptación registrada al conectar un portal documenta la instrucción y autorización contractual del usuario autenticado. No sustituye la determinación de la base jurídica que corresponde al cliente como responsable del tratamiento.

14. Derechos

Las personas interesadas pueden ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, así como los demás derechos reconocidos por la normativa aplicable.

Las solicitudes pueden enviarse a rgpd@leanfinance.es o por correo postal a Lean Finance, S.L., Avda. de la Constitución 26, planta 4, 41004 Sevilla, España. Podremos solicitar la información estrictamente necesaria para verificar la identidad y tramitar la petición.

Responderemos en el plazo legal aplicable, con carácter general un mes desde la recepción. Cuando Lean Finance actúe como encargado, trasladará la solicitud al cliente responsable y colaborará con él.

También puede presentarse una reclamación ante la Agencia Española de Protección de Datos, C/ Jorge Juan 6, 28001 Madrid.

15. Cambios en esta política

Publicaremos los cambios en esta misma dirección y actualizaremos la fecha indicada al comienzo. Si un cambio afecta materialmente al uso o a la comunicación de datos de Google, informaremos a los clientes afectados antes de aplicarlo cuando resulte exigible.

16. Contacto

• Protección de datos y ejercicio de derechos: rgpd@leanfinance.es
• Delegado de Protección de Datos: Grupo Ático34, S.L. — lopd-gdd@atico34.com
• Información comercial y soporte general: hola@leanfinance.es
• Condiciones del Servicio de Leanvoice