reformix-hackaton/negocio/legal.md

Legal y compliance

Este documento es orientativo y refleja decisiones operativas razonables para un SaaS B2B en España (2026). Cualquier paso con implicación fiscal o societaria debe validarse con asesoría profesional antes de ejecutar.

Forma jurídica recomendada

Sociedad Limitada (SL) con sede en España.

• Capital social mínimo: 3.000 € (desembolso íntegro al constituir), tradicionalmente el más común. Desde 2022 existe la SLNE de formación sucesiva con capital social desde 1 €, válida para arrancar sin desembolso inicial — recomendada solo si el bootstrap es muy ajustado.
• Reparto de participaciones inicial sugerido: 25 % cada uno de los 4 fundadores, con pacto de socios que regule vesting (4 años, 1 año cliff), no compete, drag-along y derechos de información.
• Coste de constitución: 800-1.500 € (notaría + registro mercantil + asesoría inicial).
• Tiempo: 2-4 semanas.

Alta de IAE y epígrafes

• IAE: epígrafe 845 — Explotación electrónica por cuenta de terceros o epígrafe 763 — Programación, consultoría, otras TI. El gestor confirmará el más apropiado.
• Alta en el censo IVA + retenciones (modelo 036).
• Régimen general de IVA: 21 % sobre la suscripción. Servicios prestados a otras empresas españolas → factura con IVA. A empresas UE con NIF intracomunitario → exención con inversión sujeto pasivo. A particulares no aplica todavía (Fase 1 es B2B).

Cumplimiento RGPD (Reglamento UE 2016/679 + LOPDGDD)

Reformix procesa datos personales del lead final (nombre, teléfono, email) y datos del propietario del SaaS (reformista). Compliance imprescindible desde el día 1.

Documentos obligatorios

• Política de Privacidad publicada en la landing y dentro del widget.
• Términos y Condiciones del SaaS (relación con el reformista) y de uso del widget (relación con el cliente final del reformista).
• Política de Cookies con banner consentimiento (categorías técnicas / analíticas / marketing).
• Aviso Legal con identificación de la sociedad, NIF, sede.
• Contrato de Encargado de Tratamiento entre Reformix y el reformista, ya que actuamos como encargado para los datos del lead final.
• Registro de Actividades de Tratamiento interno (artículo 30 RGPD).

Bases legales del tratamiento

• Datos del reformista (cliente SaaS): ejecución del contrato (suscripción) + interés legítimo (marketing del propio servicio).
• Datos del lead final (cliente del reformista): consentimiento explícito recogido en el widget + ejecución de tratativas precontractuales con el reformista.
• Datos en la foto subida: la foto puede contener metadata, GPS, o personas. Política: la foto se procesa, se guarda hasta 12 meses, se borra automáticamente después. El widget incluye disclaimer claro.

Encargados de tratamiento (sub-procesadores)

Hay que listarlos públicamente y comunicar cualquier cambio:

Sub-encargado	Servicio	Ubicación datos
Postgres (Neon/managed o self-hosted Hetzner)	DB	UE (Frankfurt) — elegir región UE al setup
S3 (Cloudflare R2)	Storage fotos + audio + renders	UE — configurar jurisdicción EU en R2
Vercel	Hosting	Multirregión (Frankfurt para europeos)
Retell.ai	Agente de voz (procesa audio)	EEUU (SCC aplicables)
ElevenLabs	TTS (voz)	EEUU (SCC)
Zadarma	Telefonía	UE (proveedor europeo)
Evolution API (self-hosted)	WhatsApp	UE (VPS propio en región EU)
OpenAI	LLM + Vision	EEUU (SCC)
Google (Nano Banana 2 / Image 2)	Render IA	EEUU (SCC)
SMTP (proveedor a elegir)	Email	según proveedor — preferir UE
Stripe	Pagos	EEUU (con SCC)
PostHog	Analytics	UE Cloud (configurar región EU explícitamente)

Acción crítica: PostHog cloud EU, Postgres región Frankfurt, R2 jurisdicción EU y Evolution API en VPS europeo — configurarlas explícitamente al setup para minimizar transferencias internacionales. Retell, ElevenLabs, OpenAI, Google y Stripe procesan en EEUU: documentar la transferencia y firmar SCC. Nota: el audio de la llamada lo procesa Retell (EEUU), un dato sensible — reflejarlo en la Política de Privacidad y el contrato de Encargado de Tratamiento.

Plazos de conservación

• Datos del lead: 12 meses por defecto, prorrogable si el lead se convierte en cliente del reformista.
• Datos de facturación: 6 años por imperativo fiscal.
• Logs técnicos: 90 días.
• Backups: 30 días rolling.

Llamadas comerciales del agente de voz IA — LSSI-CE + RGPD

El agente de voz IA realiza una llamada saliente al cliente final del reformista en menos de 2 minutos tras dejar sus datos en la landing. Esto activa varias obligaciones legales en España.

Consentimiento previo (LSSI-CE Art. 21 + RGPD)

• Opt-in explícito y separado en el formulario, no metido en una casilla común con la política de privacidad. Texto sugerido: "Acepto recibir una llamada en los próximos 5 minutos de [Reformista] o de un asistente IA en su nombre para cualificar mi solicitud de presupuesto. Sé que esta llamada será grabada y transcrita para generar mi presupuesto."
• La casilla no puede estar pre-marcada (consentimiento informado y libre).
• Almacenar timestamp + IP + user-agent del consentimiento en Postgres con retención 6 años (prueba ante AEPD si procede).

Grabación de llamadas (RGPD + AEPD criterios)

• Aviso al inicio de la llamada con texto fijo del agente: "Hola, soy el asistente virtual de [Reformista]. Te llamo para cualificar tu solicitud. Esta llamada va a ser grabada y transcrita para generar tu presupuesto. ¿Te parece bien que sigamos?"
• Si el cliente dice NO, el agente cuelga, el sistema registra la negativa, no se guarda nada de la conversación.
• Base legal del tratamiento: consentimiento explícito + ejecución de medidas precontractuales solicitadas por el interesado.
• Conservación de la grabación: máximo 12 meses, después borrado automático con log.
• Derecho de acceso, supresión, rectificación, portabilidad — accesibles desde un endpoint público + email.

Inteligencia artificial transparente (AI Act EU + AEPD)

• Decir al cliente que es un asistente virtual / IA, no un humano. La AI Act exige transparencia cuando un humano interactúa con un sistema de IA.
• El presupuesto entregado debe etiquetarse como orientativo, generado por asistente IA, con disclaimer de no vinculación.

Horario de llamadas

• La normativa AEPD recomienda no llamar fuera de lunes-viernes 9:00-21:00 y sábados 9:00-14:00. El sistema debe respetar este horario por defecto; si el cliente rellena el formulario fuera de horario, la llamada se programa para el primer slot válido siguiente + se le avisa por SMS.

Registro Robinson y listas de exclusión

• Antes de marcar, consultar el Registro de Exclusión (Lista Robinson) vía servicios como DataCentric o consultas API. Coste despreciable; el incumplimiento conlleva multa AEPD desde 30.000 €.
• Si el número está en la lista, no llamamos — se le envía un email con el formulario asíncrono para que él pida la llamada explícitamente.

WhatsApp Business — compliance

• Uso de la WhatsApp Business API requiere aprobación de plantillas de mensaje por Meta (24-48 h). Plantillas a registrar antes del lanzamiento: aviso pre-llamada, entrega de presupuesto, recordatorio de cita, follow-up.
• No iniciar conversación sin consentimiento previo (mismo opt-in que la llamada cubre esto).
• Marcar mensajes como categoría correcta (Utility / Marketing / Authentication) — afecta a coste por conversación.

Protección al consumidor

La relación primaria es B2B (Reformix → reformista), donde la protección al consumidor no aplica con la misma fuerza. Pero el widget interactúa con el cliente final del reformista (B2C), y ahí sí hay obligaciones:

• Texto claro de "presupuesto orientativo". El cliente final no contrata nada con Reformix — solo se le presenta una estimación. Pero hay que evitar engaño: el render no es una promesa contractual.
• Derecho de desistimiento del cliente final no aplica (no hay compra), pero sí derecho a borrar sus datos (acceso, rectificación, supresión, portabilidad).
• Email de confirmación al lead explicando qué se hizo con sus datos y a qué reformista llegaron.

Riesgo legal del flujo experto de licencia urbanística

Importante. El sub-flujo experto que indica si una obra requiere licencia urbanística manipula expectativas legales del cliente final. Si nos equivocamos, el cliente puede tener problemas con el ayuntamiento o multas.

Salvaguardas obligatorias

1. Disclaimer en pantalla antes de entrar al flujo: "La información que sigue es orientativa basada en normativa estatal. Las ordenanzas municipales prevalecen y pueden variar. Consulta con tu reformista o arquitecto técnico antes de iniciar la obra."
2. No usamos terminología vinculante. Nunca "requiere", siempre "puede requerir", "normalmente requiere", "recomendamos consultar".
3. Lista cerrada de triggers revisada por aparejador y actualizada cada 6-12 meses.
4. Log de cada estimación para defensa documental en caso de reclamación.
5. Seguro de Responsabilidad Civil profesional (~600-1.200 €/año) cuando el volumen de uso supere unas 1.000 estimaciones/mes.

Verifactu (sistema de facturación electrónica verificable)

A partir de 2026, la AEAT exige a las empresas en España emitir facturas a través de sistemas certificados que cumplan el Real Decreto 1007/2023 — el llamado "Verifactu". Aplica a sociedades y autónomos en estimación directa (la mayoría de nuestros clientes).

Implicación para Reformix:

1. Si Reformix factura suscripciones a reformistas (B2B), nuestro propio sistema de facturación debe cumplir Verifactu. La forma rápida es integrar la facturación con Stripe + Holded / Quipu que ya están certificados. Coste 25-50 €/mes incremental.
2. Para los reformistas que usan Reformix, el valor añadido es que el presupuesto generado por el widget pueda transformarse, con un click, en una factura Verifactu si el reformista la quiere emitir desde dentro de Reformix. Esto entra en Pro y Business (v1.5+) y nos diferencia frente a competidores extranjeros (Handoff, BuildFolio, See It Done) que no van a localizar Verifactu en EU/ES en corto plazo.
3. Hoja de ruta: integración nativa con Holded API o Quipu API a partir de mes 4-6 (cuando los primeros Pro tengan tracción real).

Fuentes: Real Decreto 1007/2023 + AEAT publicación Q4 2024.

Términos del SaaS

• Modelo: suscripción mensual o anual, prepago.
• Trial: 14 días sin tarjeta. Si no convierte, datos del reformista borrados a los 90 días salvo solicitud de prórroga.
• Política de reembolsos: prorrateo en suscripción anual si cancela antes de tiempo (devolución de meses no usados); no reembolso en suscripción mensual (el mes ya consumido se cobra).
• Cancelación: 1 clic desde el panel, efectiva al final del periodo de facturación en curso.

Otros temas legales

• Propiedad intelectual: el render generado es del cliente final del reformista. Reformix se reserva derecho de uso anonimizado para mejorar el modelo y para casos de uso comerciales no identificables.
• Marca: registro de "Reformix" en OEPM (Oficina Española de Patentes y Marcas), clases 9 (software) y 42 (servicios SaaS). Coste ~150-300 € por clase. Recomendado en mes 1-3.
• No competición. Pacto de socios incluye no competición durante 2 años post-salida en el mismo sector.
• Fiscal: modelo 130 trimestral (autónomos en transición) y modelo 200 anual una vez constituida la SL. Pagos a cuenta del impuesto de sociedades.

Hoja de ruta legal (lo que toca cuándo)

Mes	Acción legal	Coste
0 (HOY)	Reservar el nombre Reformix en RMC + dominio	50-100 €
1	Constitución SL + pacto de socios + alta IAE	800-1.500 €
1	Plantillas T&C + Privacidad + Cookies + Aviso Legal (con abogado)	500-800 €
2	Contrato encargado de tratamiento con reformistas	200-400 €
2	Configurar regiones EU en proveedores + documentar SCC	0 € (interno)
3	Registro marca OEPM	150-300 €
6	Seguro RC profesional + ciberseguro	800-1.500 €/año
12	Auditoría RGPD anual + revisión de sub-encargados	600-1.200 €

Total año 1 estimado en legal/fiscal: 3.000-5.000 € (excluyendo asesoría mensual recurrente).