Datos y acceso
Alojado en la UE, en Frankfurt: dónde están tus datos contables y quién los toca.
La base de datos, los archivos y el cómputo están en Frankfurt, y eso lo comprobamos en vez de afirmarlo. Los bytes de cada documento van a Anthropic para leerse y los del bot pasan por Telegram: eso también está escrito aquí.
01Datos y acceso
¿Dónde están mis datos contables?
En la Unión Europea: la base de datos y los documentos en Frankfurt, y las funciones del sitio también.
La base de datos y el almacén de documentos están en eu-central-1, Frankfurt, y las funciones que sirven la web se ejecutan en la misma región.
La afirmación no sale de una etiqueta del panel de control: se resuelve el nombre del servidor y se compara su dirección con los rangos que publica el proveedor de la infraestructura. Dos intentos anteriores acabaron en Londres y en París, y así se vieron.
Lo que no decimos es que tus datos nunca salgan de la Unión Europea, porque no sería verdad. Alojados en la Unión Europea, sí: base de datos, archivos y cómputo. Pero para leer un documento sus bytes viajan a Anthropic, y una factura que llega por el bot pasa antes por los servidores de Telegram. Ninguna de las dos cosas está limitada a la Unión Europea.
- Base de datos y documentos
- Frankfurt, eu-central-1. Comprobado contra los rangos de direcciones que publica el proveedor, no contra una etiqueta.
- Cómputo
- Las funciones que sirven la web están fijadas a Frankfurt.
- Lo que sale de la Unión Europea
- Los bytes del documento, hacia el modelo que lo lee. Por Telegram, el archivo del bot y también el aviso de cada alta e inicio de sesión, con el correo, el nombre, la firma y la IP. Lo decimos aquí porque un cuestionario de proveedores lo pregunta primero.
Comprobaciones del trimestre
3T 2026Gestoría Ejemplo Demo S.L. · B00000018
| Comprobación | Cifras | Estado |
|---|---|---|
| Libro Diario · debe = haber | 8.896,80 = 8.896,80 | Cuadra |
| Libro de IVA · soportado por tipos | 640,17 + 14,25 = 654,42 | Cuadra |
| Modelo 303 · devengado − deducible | -150,42 | A compensar |
| Extracto · movimientos conciliados | 6 | Conciliado |
| Extracto · sin documento | 2 | Revisar |
Datos de ejemplo, ficticios
Firma
3T 2026Libros de Gestoría Ejemplo Demo S.L. · B00000018 · 3T 2026
Revisado y conforme.
Datos de ejemplo, ficticios
02Datos y acceso
¿Puede otra firma ver mis facturas?
No, y no depende de que la aplicación se acuerde de filtrar: el límite está dentro de la base de datos.
Cada tabla con contenido contable lleva la empresa a la que pertenece, y cada consulta pasa por una política de la propia base de datos que resuelve a una sola función: quien pregunta tiene que ser miembro activo de esa gestoría.
El límite es la gestoría, no la persona: el titular y los administradores acceden a todas sus empresas; cada gestor, también a todas, salvo que el titular o un administrador lo limite a las que tiene asignadas. A una consulta sin filtro, la base de datos le descarta las filas de otras gestorías.
Algunas tareas del servidor no pasan por ahí y usan la clave de servicio de la base de datos. Entre ellas: los dos webhooks públicos —el de Telegram, que se comprueba con un secreto compartido, y el de los pagos, con la firma de Stripe—, el enlace de subida de cada cliente, que se autentica con su código, la limpieza nocturna, el borrado de cuenta y la asignación de un archivo que espera en la bandeja.
Y el aislamiento tiene su propia prueba automática, que se ejecuta con el resto y falla si una firma alcanza los datos de otra.
- El límite es la firma
- El titular y los administradores acceden a todas las empresas de la gestoría; cada gestor, también, salvo que lo limiten a las que tiene asignadas.
- Los webhooks
- El bot y los pagos entran por firma criptográfica, nunca con la sesión de un usuario.
- Se comprueba, no se supone
- Una prueba automática intenta cruzar el límite entre dos firmas y falla si lo consigue.
03Datos y acceso
¿Quién más procesa mis documentos?
Seis proveedores, con su nombre y con lo que recibe cada uno.
Supabase guarda la base de datos, los documentos y las cuentas, en Frankfurt. Vercel ejecuta la web en la misma región.
Anthropic recibe los bytes en bruto de cada factura, cada nómina y cada extracto en PDF: ahí está la IA del producto, un modelo que lee el documento y propone los campos, y lo que no resuelve queda por revisar hasta que lo aprueba una persona. Telegram transporta lo que envías por el bot.
Stripe gestiona las suscripciones y Resend solo envía el correo del formulario de contacto: ninguno de los dos ve tus documentos. Sobre si esos documentos se usan para entrenar modelos no vas a leer aquí ni un sí ni un no: el subencargado es Anthropic y lo que vale en un cuestionario de proveedores son sus propios términos, no una frase nuestra.
- Supabase
- Base de datos, almacén de documentos y cuentas. Frankfurt.
- Vercel
- Ejecución de la web, fijada a Frankfurt.
- Anthropic
- Recibe el documento entero para leerlo, y el resumen de facturas aprobadas con el que responde el asistente. Cada texto de una factura se le entrega marcado como dato, nunca como instrucción.
- Telegram
- Dos cosas, y la segunda no depende del bot. Si usas el bot, el archivo pasa por sus servidores antes de que lo descarguemos. Y además, cada alta y cada inicio de sesión nos llega como aviso a un chat de Telegram: con el correo, el nombre, la firma, el país y la IP. Es un aviso interno para atender las altas, y pasa aunque nunca toques el bot.
- Stripe y Resend
- Las suscripciones y el correo del formulario. Si el correo estuviera mal configurado, tu consulta se guarda igual y el formulario dice que no se ha enviado nada.
04Datos y acceso
¿Cómo se entra en la cuenta?
Con correo y contraseña, o con Google. Y una cuenta nueva espera a que una persona la deje entrar.
El registro pide el nombre de la firma y su NIF, una firma por NIF. El botón de Google aparece solo cuando el proveedor de identidad está realmente activado: se pregunta antes de enseñarlo, porque una vez estuvo anunciado estando apagado.
Confirmar un correo demuestra que alguien tiene un buzón, y no dice nada sobre si queremos a esa persona dentro de un producto que guarda la contabilidad de los clientes de cada gestoría.
Así que cada cuenta nueva la revisamos a mano. Hasta que se aprueba no puede hacer nada: ni por la web, ni por el bot, y la propia base de datos se niega a crearle una empresa. Y una cuenta que no encaja queda bloqueada, no borrada, porque un bloqueo se puede deshacer y un borrado no.
- Cómo se entra
- Correo y contraseña, o Google cuando el proveedor está activado. Recuperación de contraseña y confirmación de correo, los flujos estándar.
- Aprobación a mano
- Una cuenta nueva no hace nada hasta que la revisamos a mano.
- Enlaces firmados
- Los documentos viven en un almacén privado y nunca en una dirección pública: una hora de validez en la aplicación, cinco minutos en la bandeja.
05Datos y acceso
¿Puedo sacar mis datos y borrar la cuenta?
Sí a las dos cosas, y conviene saber exactamente qué significa cada una.
Se exporta lo que el producto construye: el libro de facturas recibidas y las hojas del 303 y el 347 en Excel, la hoja única y la lista de facturas en CSV, y el Libro Mayor en su propio Excel. Los originales, los PDF y las fotos, se descargan en un ZIP desde la lista de cada cliente. Lo que no hay es un botón que te baje la cuenta entera en un archivo.
Borrar la cuenta borra de verdad: el usuario, el perfil, las empresas, las facturas, los extractos y el plan de cuentas, y se barren los archivos de cada empresa, también los de los modelos presentados.
Antes de borrar se apunta qué carpetas hay que barrer, para que un barrido a medias deje constancia. Y el borrado se niega cuando esa cuenta corresponde al titular de una gestoría en la que todavía hay otras personas activas.
06Datos y acceso
¿Qué no prometemos?
Lo que un aislamiento dentro de la base de datos no puede dar, dicho antes de que lo preguntes.
No hay claves de cifrado propias por firma. No hay restauración a un punto en el tiempo para una firma sola. Y no hay inmunidad frente a la carga de otra firma, porque la base de datos es compartida. Esas tres cosas son exactamente lo que un aislamiento por políticas no alcanza, y la cuarta —los caminos que lo rodean— está nombrada más arriba en vez de escondida.
El registro de auditoría es parcial: solo apunta cuándo un documento aprobado vuelve a revisión y quién lo hizo. No cubre ediciones ni accesos. No hay entrada de documentos por correo electrónico. Y no vas a leer aquí una frase de cumplimiento normativo: lo que hay es lo que el código hace, y cada afirmación de esta página se puede comprobar contra él.
- Claves de cifrado por firma
- No las hay. Lo que hay: un almacén privado, enlaces firmados que caducan y una política por firma en cada consulta.
- Restauración a un punto en el tiempo
- No se puede devolver una firma sola a un instante anterior sin tocar a las demás.
- La carga de otros
- La base de datos es compartida. Un vecino ruidoso se nota, y decirlo es más honesto que prometer lo contrario.
- Registro de auditoría
- Solo apunta cuándo un documento aprobado vuelve a revisión, y quién lo hizo. Si necesitas más para un cliente, dínoslo antes de decidirte.
07Preguntas
¿Qué preguntan las gestorías y los despachos antes de probarlo?
¿Están mis datos en la Unión Europea?
¿Puede otra asesoría ver a mis clientes?
¿Mis documentos están en alguna dirección pública?
¿Quién trata mis datos además de vosotros?
¿Qué se borra cuando borro la cuenta?
¿Puedo dar acceso a un compañero del despacho?
Datos y acceso
Mándanos el cuestionario de proveedores.
Si un cliente te pregunta por escrito dónde están sus datos y quién los procesa, pásanos esas preguntas y las respondemos una por una. Y si prefieres verlo por dentro antes, durante la beta se empieza sin pagar nada, sin tarjeta.