Ilya Labs
Ilya Contabilidad
Accede con tu email
Powered by
Accede con tu email
Elige una contraseña para entrar a partir de ahora.
Facturas, albaranes, gastos y banco en un solo sitio.
| Fecha | Proveedor / Cliente | Nº | Concepto | Base | Total | Estado |
|---|
| Fecha | Proveedor | Nº | Concepto | Importe | Estado |
|---|
| Fecha | Proveedor / Descripción | Categoría | Base | Total |
|---|
| Fecha | Concepto | Categoría | Importe | Saldo | Conciliado |
|---|
trata datos personales en esta aplicación. Aquí se explica qué datos son, para qué se usan, con qué base legal, cuánto tiempo se guardan y quién más los toca — tal y como la aplicación funciona hoy.
Quién responde de tus datos
Responsable del tratamiento: Decide qué datos se tratan y para qué; ante él se ejercen los derechos.
Delegado de protección de datos:
Encargado del tratamiento: Ilya Labs, que desarrolla y mantiene la aplicación y trata los datos solo por cuenta del responsable (art. 28 del RGPD). No los usa para fines propios ni los cede fuera de la tabla siguiente.
Una excepción: la bandeja de soporte es de Ilya Labs, que ahí actúa como responsable. Esas incidencias no viven en la base de datos del negocio; para lo que escribas ahí, los derechos se ejercen ante lucas@ilyalabs.es.
Dónde están los datos y quién más los toca
| Quién | Qué hace | Dónde |
|---|---|---|
| Ilya Labs (España) | Mantiene la aplicación; para reparar una avería puede acceder a los datos. Encargado. | España |
| Supabase | Base de datos, cuentas de acceso y ficheros subidos. Subencargado. | Irlanda (eu-west-1) |
| Netlify | Sirve la aplicación y ejecuta sus funciones de servidor; sus registros técnicos guardan IP, fecha y hora. Subencargado. | Irlanda (eu-west-1); las páginas se entregan por su red mundial |
| Resend, Inc. | Envía los correos de la aplicación (código de firma, facturas, avisos). Su papel es entregarlos, no almacenarlos: los datos del negocio no viven allí. Subencargado, solo en los módulos que envían correo. | Estados Unidos |
| Anthropic PBC | Solo en Contabilidad y HACCP, y solo al pulsar «leer con IA»: recibe el documento para leerlo. Subencargado. | Estados Unidos |
| Ilya Soporte (Ilya Labs) | Las incidencias del botón de soporte. El widget consulta el servidor de Ilya Labs al usar la aplicación y esa conexión registra la IP. Aquí Ilya Labs es responsable. | Irlanda; sus correos, por Resend |
Supabase Inc. y Netlify Inc. son sociedades estadounidenses, aunque el tratamiento esté configurado en Irlanda. Fuera de esta lista no se comunican datos a nadie, salvo obligación legal.
Salidas fuera del Espacio Económico Europeo
En este módulo, la salida propia es una: la lectura con IA (Anthropic, Estados Unidos), y solo cuando alguien pulsa ese botón. Esta aplicación no envía correos; los del canal de soporte sí salen por Resend, Inc. (Estados Unidos), pero son un tratamiento de Ilya Labs como responsable, no del negocio — ver su fila en la tabla. La garantía del art. 46 del RGPD que ampara cada transferencia (Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo) puede pedirse por el canal de derechos de abajo.
Seguridad
Los datos viajan por HTTPS y se guardan con el cifrado en reposo del proveedor. Al panel solo se entra con la sesión iniciada. Hay pantallas públicas que funcionan con un enlace de código largo, sin contraseña: quien tenga el enlace las ve, así que conviene no reenviarlo — el apartado del módulo dice cuáles son y cómo se revocan. Dentro del negocio, salvo en el fichaje, no hay roles: toda cuenta ve todo.
¿Estás obligado a dar estos datos?
Los marcados como obligación legal, sí. Los del contrato son necesarios para prestar el servicio. Los basados en consentimiento son voluntarios, y el permiso se puede retirar cuando quieras.
Si estos datos no los diste tú
Puede haberlos introducido el negocio, o llegar importados de otra aplicación — el apartado del módulo dice cuáles y de dónde. Nunca proceden de fuentes públicas ni se han comprado, y tus derechos son los mismos.
Qué trata Ilya Contabilidad
Datos de proveedores y clientes del negocio —que son datos personales cuando el proveedor es autónomo o cuando el contacto es una persona concreta de una empresa—, los importes asociados a ellos y los documentos que se suben como justificante.
| Qué datos | Para qué | En qué se apoya | Cuánto se guarda |
|---|---|---|---|
| Facturas recibidas y emitidas, albaranes, gastos y los documentos que los justifican (fotos y PDF) | Llevar la contabilidad y los libros registro del negocio | Obligación legal del responsable (art. 6.1.c RGPD): obligatorio | 6 años desde el último asiento (art. 30.1 del Código de Comercio) y 4 años a efectos fiscales (arts. 29.2.d, 66 y 67 de la Ley 58/2003; arts. 164 y 165 de la Ley 37/1992 del IVA y arts. 19 y 20 del RD 1619/2012). Si hay bienes de inversión, la factura se guarda durante el periodo de regularización y los cuatro años siguientes (art. 107 de la Ley del IVA) |
| Ficha de proveedor: nombre, NIF, correo, teléfono, forma de pago y notas | Pedir, pagar y reclamar | Ejecución del contrato si el proveedor es persona física (art. 6.1.b); interés legítimo en mantener el contacto profesional cuando el dato es el de un empleado de una empresa proveedora (art. 6.1.f), y en ese caso puedes oponerte | Mientras dure la relación comercial. Lo que quede dentro de un justificante contable sigue el plazo de la fila anterior. Para la ficha suelta no hay norma que imponga plazo |
| Movimientos bancarios: fecha, concepto literal del banco, importe y saldo. El concepto puede traer nombres de personas y textos como «nómina» o «recibo — Seguridad Social» | Control de cobros y pagos y conciliación de cada apunte con su factura o gasto | Obligación legal contable (art. 6.1.c) e interés legítimo en el control interno de tesorería (art. 6.1.f) | El mismo que el soporte contable: 6 años mercantil, 4 fiscal |
| Retenciones de IRPF por perceptor: nombre, nº de facturas, base y retenido | Calcular el modelo 111 trimestral y el detalle que alimenta el resumen anual 190 | Obligación legal de retener, ingresar y declarar (art. 6.1.c RGPD; arts. 99 y 101 de la Ley 35/2006 del IRPF y art. 108 del RD 439/2007) | 4 años desde el fin del plazo de presentación de cada declaración (arts. 66 y 67 de la Ley 58/2003) |
| Lectura automática de documentos: el fichero que se sube, con los nombres, NIF e importes que contenga | Extraer los campos de una factura, un ticket o un extracto para no teclearlos a mano | Interés legítimo en evitar la transcripción manual (art. 6.1.f), como parte del servicio contratado | El envío es puntual y la aplicación no guarda copia de la consulta. El documento original se queda con el registro al que pertenece. Ver el aviso sobre Estados Unidos, aquí debajo |
| Enlace para la asesoría: los documentos de las facturas del trimestre y el nombre de la contraparte de cada una | Que la asesoría o gestoría se descargue lo que necesita sin tener cuenta en la aplicación | Obligación legal de llevar la contabilidad y presentar las declaraciones, para lo que el responsable se apoya en su asesoría (art. 6.1.c) | El enlace no caduca solo: vive hasta que se revoca a mano desde Ajustes. Cada descarga concreta sí caduca en una hora |
Lo que sale fuera de la Unión Europea
Cuando se usa la lectura automática, el documento se envía a Anthropic, en Estados Unidos, que actúa como subencargado. Va el documento entero, con los nombres, los NIF y los importes que lleve dentro. Es una transferencia internacional y solo ocurre cuando alguien pulsa el botón de leer con IA.
Los documentos se guardan y se descargan desde Irlanda, y la petición y la lista de facturas del trimestre —con el nombre del cliente o del proveedor de cada una— pasan por una función de servidor que se ejecuta también en Irlanda (eu-west-1). Es esa función la que emite los enlaces de descarga, tanto dentro de la aplicación como en el enlace de la asesoría. La única salida fuera de la Unión Europea sigue siendo la lectura con IA: al pulsar ese botón, el documento entero viaja a Anthropic (Estados Unidos) — ver su fila en la tabla.
Sobre la revisión humana, sin adornos: cuando se sube un solo documento, la aplicación rellena el formulario y una persona lo revisa antes de guardar. Cuando se suben varios a la vez, se guardan directamente, y si el proveedor no existía se crea con el nombre y el NIF que devuelva el modelo, sin que nadie lo revise. Conviene repasarlos, porque de la exactitud de esos datos responde el responsable.
El enlace de la asesoría, con precisión
Es la única pantalla de este módulo que funciona sin cuenta. Quien tenga ese enlace entra sin cuenta y sin contraseña, desde donde esté. Ve el listado de facturas del trimestre con el nombre del cliente o del proveedor de cada una y se descarga los documentos, que lógicamente llevan los importes dentro. No entra en el resto de la aplicación. El enlace no caduca por sí solo: hay que revocarlo desde Ajustes cuando deje de hacer falta. La relación con la asesoría exige, además, un contrato de encargado de tratamiento entre el negocio y ella.
Quién ve qué, y qué no hay
Dentro del negocio no hay roles ni permisos distintos: cualquier persona con cuenta ve toda la contabilidad. Tampoco hay registro de accesos: la aplicación no guarda quién ha consultado o descargado qué. Y para atender un derecho de acceso o de portabilidad, la aplicación permite imprimir informes y libros, pero no exportar los registros a un fichero de datos: eso hay que pedirlo al responsable, que lo solicita a Ilya Labs.
Sobre la supresión, con el matiz exacto: desde la aplicación, las facturas, los gastos, los albaranes y las fichas se archivan, no se borran; lo único que se elimina de verdad son los apuntes de pago cuando se deshace un cobro. El borrado real de un registro lo ejecuta Ilya Labs en la base de datos a petición del responsable, siempre con el límite de lo que hay que conservar por obligación fiscal y mercantil.
Si no fuiste tú quien dio estos datos
Si eres proveedor o cliente, tu ficha la creó el negocio, o la creó automáticamente la lectura con IA a partir de una factura tuya. Y tu nombre puede aparecer también dentro del concepto de un movimiento bancario tal y como lo escribió el banco. No proceden de fuentes públicas ni se han comprado a nadie.
Documentos que no deberían subirse aquí
Este módulo no está pensado para datos especialmente protegidos y no tiene ninguna medida específica para ellos. El almacén acepta cualquier imagen o PDF sin comprobar qué contiene, así que no deben subirse nóminas —que pueden revelar la afiliación sindical por la cuota descontada— ni facturas de clínicas, mutuas o seguros médicos. Si aun así se suben, no reciben ningún trato reforzado.
Datos de salud
Esta aplicación no pide ni trata datos de salud ni de ninguna categoría especial (art. 9 del RGPD). Los campos de notas son texto libre: no escribas ahí alergias ni datos médicos — pasarían a estar especialmente protegidos sin que la aplicación lo tenga previsto.
Tus derechos
Acceso, rectificación, supresión, limitación, oposición y portabilidad; el consentimiento se puede retirar. Contra los usos basados en interés legítimo puedes oponerte por motivos de tu situación particular. El responsable contesta en un mes (art. 12.3 del RGPD). Lo que una norma obliga a conservar no se borra: queda bloqueado (art. 32 de la LO 3/2018) hasta vencer su plazo, y la supresión hay que pedirla — no es automática. Si no te contestan o no estás conforme: Agencia Española de Protección de Datos, www.aepd.es (art. 77 del RGPD).
Cómo ejercerlos:
Lo que esta aplicación no hace
No toma decisiones automatizadas con efectos jurídicos ni elabora perfiles (art. 22 del RGPD).
Última actualización: Aplicación desarrollada por Ilya Labs. Describe cómo funciona la herramienta; no es asesoramiento jurídico y no sustituye al aviso propio del responsable, que puede tratar datos fuera de esta aplicación.
processes personal data in this application. This notice explains what data that is, what it is used for, on what legal basis, how long it is kept and who else handles it — as the application works today.
Who is responsible for your data
Controller: Decides what data is processed and for what purpose; this is who you exercise your rights with.
Data Protection Officer:
Processor: Ilya Labs, which develops and maintains the application and processes the data only on the controller's behalf (Article 28 GDPR). It does not use the data for its own purposes and does not disclose it beyond the table below.
One exception: the support inbox belongs to Ilya Labs, which acts there as controller. Those requests do not live in the business's database; for anything you write there, rights are exercised with lucas@ilyalabs.es.
Where the data is and who else handles it
| Who | What they do | Where |
|---|---|---|
| Ilya Labs (Spain) | Maintains the application; may access the data to fix a fault. Processor. | Spain |
| Supabase | Database, sign-in accounts and uploaded files. Sub-processor. | Ireland (eu-west-1) |
| Netlify | Serves the application and runs its server functions; its technical logs record IP address, date and time. Sub-processor. | Ireland (eu-west-1); pages are delivered over its global network |
| Resend, Inc. | Sends the application's emails (signing code, invoices, notifications). Its role is to deliver them, not to store them: the business's data does not live there. Sub-processor, only in the modules that send email. | United States |
| Anthropic PBC | Only in Accounting and HACCP, and only when you press "read with AI": receives the document in order to read it. Sub-processor. | United States |
| Ilya Soporte (Ilya Labs) | The requests from the support button. The widget contacts the Ilya Labs server while you use the application, and that connection records the IP address. Here Ilya Labs is the controller. | Ireland; its emails, through Resend |
Supabase Inc. and Netlify Inc. are US companies, even though the processing is configured in Ireland. Outside this list, no data is disclosed to anyone unless the law requires it.
Transfers outside the European Economic Area
In this module there is one transfer of its own: reading with AI (Anthropic, United States), and only when someone presses that button. This application does not send emails; those of the support channel do leave through Resend, Inc. (United States), but they are a processing operation of Ilya Labs as controller, not of the business — see its row in the table. The Article 46 GDPR safeguard covering each transfer (EU–US Data Privacy Framework or standard contractual clauses) can be requested through the rights channel below.
Security
Data travels over HTTPS and is stored with the provider's encryption at rest. The panel can only be entered with a signed-in session. There are public screens that work from a long-code link, without a password: anyone holding the link can see them, so it is best not to forward it — the module's section says which ones they are and how to revoke them. Within the business, except in time-tracking, there are no roles: every account sees everything.
Do you have to provide this data?
The items marked as a legal obligation, yes. Those based on the contract are necessary to provide the service. Those based on consent are voluntary, and permission can be withdrawn at any time.
If you did not provide this data yourself
It may have been entered by the business, or imported from another application — the module's section says which data and from where. It never comes from public sources and has not been bought, and your rights are the same.
What Ilya Contabilidad processes
Data about the business's suppliers and customers — which is personal data when the supplier is a sole trader or when the contact is a particular person at a company —, the amounts associated with them and the documents uploaded as supporting evidence.
| What data | What for | Legal basis | How long it is kept |
|---|---|---|---|
| Invoices received and issued, delivery notes, expenses and the documents supporting them (photos and PDFs) | Keeping the business's accounts and statutory books | Legal obligation of the controller (Article 6(1)(c) GDPR): mandatory | 6 years from the last entry (Article 30.1 of Spain's Código de Comercio, the Commercial Code) and 4 years for tax purposes (Articles 29.2.d, 66 and 67 of Ley 58/2003; Articles 164 and 165 of Ley 37/1992 on VAT and Articles 19 and 20 of RD 1619/2012). Where capital goods are involved, the invoice is kept for the adjustment period and the following four years (Article 107 of the VAT Act) |
| Supplier record: name, NIF (Spanish tax ID), email, telephone, payment method and notes | Ordering, paying and chasing | Performance of the contract where the supplier is a natural person (Article 6(1)(b)); legitimate interests in maintaining the professional contact where the data belongs to an employee of a supplier company (Article 6(1)(f)), and in that case you may object | For as long as the commercial relationship lasts. Anything contained in an accounting record follows the period in the row above. For the standalone record no rule sets a period |
| Bank transactions: date, the bank's literal description, amount and balance. The description may carry people's names and wording such as "payroll" or "direct debit — Social Security" | Controlling receipts and payments and reconciling each entry with its invoice or expense | Legal obligation in accounting (Article 6(1)(c)) and legitimate interests in internal treasury control (Article 6(1)(f)) | The same as the accounting evidence: 6 years commercial, 4 for tax |
| Personal income tax (IRPF) withholdings by payee: name, number of invoices, base and amount withheld | Calculating the quarterly Modelo 111 and the detail feeding the annual summary, Modelo 190 | Legal obligation to withhold, pay over and declare (Article 6(1)(c) GDPR; Articles 99 and 101 of Ley 35/2006 on IRPF and Article 108 of RD 439/2007) | 4 years from the end of the filing period for each return (Articles 66 and 67 of Ley 58/2003) |
| Automated document reading: the uploaded file, with whatever names, tax IDs and amounts it contains | Extracting the fields of an invoice, a receipt or a bank statement so they do not have to be typed in by hand | Legitimate interests in avoiding manual transcription (Article 6(1)(f)), as part of the contracted service | The send is one-off and the application keeps no copy of the request. The original document stays with the record it belongs to. See the notice about the United States, just below |
| Link for the accountant: the documents of the quarter's invoices and the name of the counterparty of each one | So the accounting firm can download what it needs without holding an account in the application | Legal obligation to keep the accounts and file the returns, for which the controller relies on its accounting firm (Article 6(1)(c)) | The link does not expire on its own: it lives until it is revoked by hand from Settings. Each individual download does expire, after one hour |
What leaves the European Union
When automated reading is used, the document is sent to Anthropic, in the United States, acting as a sub-processor. The whole document goes, with whatever names, tax IDs and amounts it carries inside. It is an international transfer and it happens only when someone presses the read-with-AI button.
Documents are stored and downloaded from Ireland, and the request and the list of the quarter's invoices — with the customer's or supplier's name for each one — pass through a server function that also runs in Ireland (eu-west-1). It is that function which issues the download links, both inside the application and in the accountant's link. The only route outside the European Union is still reading with AI: when that button is pressed, the whole document travels to Anthropic (United States) — see its row in the table.
On human review, plainly: when a single document is uploaded, the application fills in the form and a person checks it before saving. When several are uploaded at once, they are saved directly, and if the supplier did not exist it is created with the name and tax ID returned by the model, without anyone checking it. They are worth reviewing, because the controller is accountable for the accuracy of that data.
The accountant's link, precisely
It is the only screen in this module that works without an account. Whoever holds that link gets in without an account and without a password, from wherever they are. They see the list of the quarter's invoices with the customer's or supplier's name for each one and download the documents, which of course carry the amounts inside. They do not get into the rest of the application. The link does not expire by itself: it has to be revoked from Settings once it is no longer needed. The relationship with the accounting firm also requires a processor agreement between the business and the firm.
Who sees what, and what does not exist
Within the business there are no roles or differing permissions: anyone with an account sees the whole of the accounts. Nor is there an access log: the application does not record who has consulted or downloaded what. And to serve a right of access or of data portability, the application can print reports and books, but cannot export the records to a data file: that has to be asked of the controller, who requests it from Ilya Labs.
On erasure, with the exact nuance: from the application, invoices, expenses, delivery notes and records are archived, not deleted; the only thing genuinely removed are the payment entries when a receipt is undone. Actual deletion of a record is carried out by Ilya Labs in the database at the controller's request, always within the limits of what has to be kept under tax and commercial obligations.
If you were not the one who provided this data
If you are a supplier or a customer, your record was created by the business, or created automatically by the AI reading from an invoice of yours. And your name may also appear inside the description of a bank transaction, exactly as the bank wrote it. It does not come from public sources and has not been bought from anyone.
Documents that should not be uploaded here
This module is not designed for specially protected data and has no specific measures for it. The store accepts any image or PDF without checking what it contains, so payslips should not be uploaded — they can reveal trade union membership through the deducted subscription — nor invoices from clinics, mutual insurers or health insurers. If they are uploaded anyway, they receive no reinforced treatment.
Health data
This application does not request or process health data or any special category of personal data (Article 9 GDPR). The notes fields are free text: do not write allergies or medical details there — they would become specially protected data without the application being designed for it.
Your rights
Access, rectification, erasure, restriction of processing, objection and data portability; consent can be withdrawn. Against uses based on legitimate interests you may object on grounds relating to your particular situation. The controller replies within one month (Article 12(3) GDPR). Data that a law requires to be kept is not erased: it is kept blocked — retained but not used, available only to authorities and courts (Article 32 of Spain's LO 3/2018) — until its period expires, and erasure has to be requested; it is not automatic. If you get no reply or are not satisfied: Agencia Española de Protección de Datos (AEPD), the Spanish data protection supervisory authority, www.aepd.es (Article 77 GDPR).
How to exercise them:
What this application does not do
It does not make automated decisions with legal effects and does not carry out profiling (Article 22 GDPR).
Last updated: Application developed by Ilya Labs. It describes how the tool works; it is not legal advice and does not replace the controller's own privacy notice, which may cover processing outside this application.