RGPD / AVG, AI Act y NIS2 en Synomi

1. Dos roles — ¿quién responde de qué?

Según el RGPD (en los Países Bajos: la AVG), Synomi actúa en dos roles:

• Responsable del tratamiento — de los datos de tu cuenta (nombre, correo, datos de la empresa, datos de pago, registros del sistema). Recogemos, tratamos y ciframos estos datos para poder prestarte el servicio siquiera.
• Encargado del tratamiento — de todo lo que introduces en Synomi como parte de tu negocio (los datos de tus clientes, facturas, documentos, rutas GPS). De estos datos el responsable eres tú — los tratamos únicamente siguiendo tus instrucciones. Los cuidamos por ti y también los ciframos, pero quien los gestiona eres tú.

El acuerdo que regula cómo manejamos tus datos (verwerkersovereenkomst — acuerdo de encargo de tratamiento) está integrado en las Condiciones del servicio web Synomi (sección 9) — no necesitas firmar ningún documento aparte.

2. ¿Dónde viven tus datos?

• En nuestro propio servidor, en un centro de datos neerlandés — no en una nube anónima
• Los datos de las empresas están cifrados en reposo, con una clave distinta para cada empresa; las conexiones van protegidas con SSL/TLS
• Copias de seguridad periódicas y actualizaciones de seguridad
• Sin publicidad, sin rastreadores, sin vender datos — ni en la web ni en la aplicación móvil

3. Tus derechos

Según el RGPD / AVG tienes derecho a: acceder a tus datos, corregirlos o suprimirlos («el derecho al olvido»), limitar su tratamiento, llevártelos contigo (portabilidad de datos), oponerte y retirar tu consentimiento en cualquier momento.

¿Cómo ejerces estos derechos? Escribe a hello@synomi.ai — con eso basta. También tienes derecho a presentar una reclamación ante la autoridad de control neerlandesa: la Autoriteit Persoonsgegevens.

4. Borrar tu cuenta

Puedes borrar tu cuenta tú mismo, en la aplicación (Perfil → Eliminar cuenta). También puedes solicitar el borrado por correo: escribe a support@synomi.ai desde la dirección de correo vinculada a tu cuenta — antes de iniciar el procedimiento, confirmaremos tu solicitud con una respuesta.

Desde ese momento empieza un periodo de gracia de 30 días — durante ese tiempo puedes cambiar de opinión con solo volver a iniciar sesión. Pasados 30 días, tus datos se borran de forma definitiva e irreversible.

Antes de borrar, descarga tus datos (exportaciones en PDF/XML/Excel) — la obligación de conservar tu documentación contable durante 7 años recae en ti. Detalles: Política de privacidad, sección 9.

5. ¿Con quién compartimos datos — y qué datos?

Solo subencargados de confianza, solo para las funciones que realmente usas — y solo los datos sin los cuales una función sencillamente no funcionaría:

• Mollie (pagos) — los datos necesarios para procesar tu pago. No guardamos datos de tarjetas en absoluto — de eso se ocupa Mollie en exclusiva.
• Anthropic (funciones de IA) — fotos de tiques y facturas durante el escaneo OCR, el texto de los comandos de voz (solo la transcripción — nunca la grabación de audio; la voz se reconoce en tu dispositivo), y solo aquellas preguntas a Daisy que requieren procesamiento externo. Las peticiones no se vinculan a ningún usuario concreto, y Anthropic no entrena modelos con tus datos.
• Google — solo si lo activas: con el inicio de sesión con Google recibimos de Google tu correo y los datos básicos de tu perfil; con la sincronización de Google Calendar añadimos a tu calendario los eventos de Synomi (vencimientos de pago, citas) y leemos los eventos de vuelta para poder mostrártelos.
• Apple — solo si lo activas: con Sign in with Apple recibimos un identificador y — si decides compartirlo — tu correo (que Apple puede anonimizar); la sincronización del calendario de iCloud funciona igual que la de Google.

Las transferencias fuera del Espacio Económico Europeo se apoyan en las Cláusulas Contractuales Tipo (SCC). No vendemos datos. La lista completa y los detalles: Política de privacidad, sección 6.

6. Cookies

Usamos solo cookies técnicas esenciales (inicio de sesión, seguridad, preferencias) — sin cookies analíticas ni publicitarias. Detalles: Política de privacidad, sección 5.

7. La inteligencia artificial en Synomi (AI Act)

Desde el 2 de agosto de 2026 rigen en toda la UE las normas de transparencia sobre IA (el AI Act) — Synomi cumple estos requisitos. En Synomi, la inteligencia artificial trabaja en unos cuantos sitios: Daisy responde preguntas y sugiere categorías de gasto, Voice-to-Invoice convierte tu voz en una factura, y el OCR lee tiques y facturas a partir de una foto.

Nuestro principio rector en cada proceso es human in the loop — la última palabra la tiene siempre una persona, y todo requiere tu aprobación consciente. En la práctica:

• La IA sugiere — tú decides. Ninguna función de IA toma decisiones por ti ni emite documentos por su cuenta. El OCR rellena un formulario que tú revisas; Daisy sugiere pero nunca bloquea; una factura por voz es un borrador que tú apruebas.
• Siempre sabes que es IA. Daisy no finge ser humana — es abiertamente una asistente de IA y como tal se presenta.
• Una sugerencia no es asesoramiento. Las pistas de Daisy (p. ej. «este gasto puede no ser deducible») son orientaciones, no asesoramiento fiscal. Recuerda: cada decisión vinculante sobre tu negocio la tomas tú — solo o junto con tu Contable.

Según la clasificación del AI Act, las funciones de Synomi son sistemas de riesgo limitado — ninguna evalúa a personas ni decide sobre créditos, empleo ni nada por el estilo. Qué datos salen para el procesamiento de las funciones de IA (y que nunca se vinculan contigo) — mira la sección 5.

8. Ciberseguridad (NIS2 / Cyberbeveiligingswet)

NIS2 es la directiva europea de ciberseguridad — implantada en los Países Bajos como la Cyberbeveiligingswet, en vigor desde el 15 de agosto de 2026. Cubre directamente a organizaciones medianas y grandes de sectores clave. Synomi, como empresa pequeña, no está sujeta a ella directamente — y lo decimos abiertamente, en vez de colgarnos una etiqueta de moda.

Hay, eso sí, otra cara: las organizaciones cubiertas por NIS2 deben vigilar la seguridad de sus proveedores. Si tú o tu cliente estáis bajo NIS2 y necesitáis un proveedor que no sea el eslabón débil — esto es lo que encontraréis en Synomi:

• Nuestro propio servidor en los Países Bajos — tus datos no van a la deriva por nubes ajenas.
• Cifrado con una clave distinta para cada empresa — una clave nunca abre los datos de otro.
• Autenticación de dos factores (2FA) y copias de seguridad.
• Cero rastreadores y una lista corta de subencargados (sección 5).

¿Preguntas sobre la seguridad de la cadena de suministro? Escríbenos: support@synomi.ai.

9. Contacto