Exportación de datos y cambio de proveedor

1. Para qué sirve esta página

Esta página explica, de forma pública y antes de contratar, cómo puede el Cliente recuperar sus datos y cambiar a otro proveedor o a su propia infraestructura, como exigen el Reglamento (UE) 2023/2854 (Reglamento de Datos, artículos 23 a 31) y el derecho a la portabilidad del artículo 20 del RGPD.

Las condiciones vinculantes están en las Condiciones del servicio y en el Contrato de encargado del tratamiento; si algo de aquí no coincide, prevalecen ellas.

2. Exportación en cualquier momento

Quien tenga el rol de propietario (OWNER) de la organización puede descargar en cualquier momento, desde Ajustes, una exportación completa en JSON. También durante los treinta días siguientes a pedir la baja.

Cada exportación queda anotada en la auditoría de la organización (quién y cuándo).

Además, desde el panel se pueden descargar por separado:

• los hallazgos en CSV;
• los informes en PDF;
• las facturas en PDF, una a una o en un ZIP;
• en los planes que la incluyen, los datos por la API pública.

3. Formato de la exportación (nextanalyzer-export, versión 1)

Es un único documento JSON en UTF-8 con estos campos:

• format: siempre «nextanalyzer-export».
• version: versión del formato (hoy, 1). Si cambia la forma del documento, sube la versión y se publica aquí.
• exportedAt: fecha y hora de la exportación (ISO 8601, UTC).
• organizationId: identificador de la organización.
• tables: un objeto con una entrada por tabla de la base de datos que tenga datos de la organización; cada entrada es una lista de filas y cada fila, un objeto con los nombres de columna de la base de datos (en snake_case).

Las fechas van en ISO 8601, los importes como texto decimal y los campos estructurados como objetos JSON. Los identificadores son UUID y relacionan unas tablas con otras igual que en la base de datos, de modo que el documento se puede cargar en otro sistema sin perder las relaciones.

4. Qué incluye

Todo lo que pertenece a la organización: la propia organización y su suscripción, los miembros (nombre, correo, idioma y rol) y las invitaciones, los grupos y los equipos con su inventario e instantáneas, las métricas agregadas, las vulnerabilidades y los hallazgos de configuración, las alertas, las reglas y los avisos, las correcciones, los scripts y sus versiones, las sesiones de acceso remoto (sin contenido de pantalla), el descubrimiento de red, los informes, los análisis de IA, el historial de actividad si estaba activado, las conversaciones de soporte (solo los mensajes visibles para el Cliente), la marca, la facturación y la auditoría.

También se incluyen las tablas que dependen de las anteriores (por ejemplo, los mensajes de una conversación o los equipos de una corrección).

5. Qué no incluye y por qué

• Secretos y credenciales: contraseñas y sus huellas, tokens, claves, secretos de SSO y de webhooks y cualquier dato sellado. No son datos del Cliente, sino de cómo el servicio los protege; el Cliente debe volver a configurarlos en el nuevo proveedor.
• Las notas internas del equipo de soporte de NextAnalyzer.
• Las sesiones de inicio de sesión de cada persona (con su IP y navegador): son datos de esa persona, no de la organización.
• Los ficheros (PDF de informes, imágenes de la marca y adjuntos de soporte), que se descargan desde el panel; en el JSON solo figuran sus datos descriptivos.
• Los eventos en bruto del motor de detección, que solo se conservan 90 días para diagnóstico.

6. Cómo pedir el cambio de proveedor

El Cliente puede pedir el cambio a otro proveedor o a su propia infraestructura escribiendo a [PENDIENTE: correo] desde la cuenta del propietario e indicando el destino si lo conoce. El preaviso máximo es de dos meses.

Desde la solicitud:

• Periodo transitorio de treinta días naturales en el que el servicio sigue funcionando y el Cliente puede exportar tantas veces como necesite. Si no es técnicamente viable en ese plazo, se le avisará en catorce días hábiles con la justificación y se podrá ampliar hasta siete meses.
• El Cliente puede ampliar una vez el periodo transitorio si lo necesita.
• Al terminar, dispone de otros treinta días para recuperar los datos; después se suprimen, incluidas las copias de seguridad en su ciclo ordinario, salvo lo que la ley obligue a conservar bloqueado. A petición, se certifica la supresión.

El cambio no tiene ningún cargo: ni por la salida de datos ni por la asistencia.

7. Dónde están los datos y accesos de autoridades

La infraestructura que trata los datos del Cliente está en la Unión Europea ([PENDIENTE: proveedor y país del alojamiento]). Los proveedores que intervienen se enumeran en el Anexo III del Contrato de encargado.

Si una autoridad de un país de fuera de la UE pidiera acceso a datos no personales del Cliente sin un acuerdo internacional que lo ampare, NextAnalyzer se opondrá en la medida que permita la ley, pedirá la vía del acuerdo internacional, informará al Cliente salvo que se lo prohíban y entregará solo lo mínimo imprescindible (artículo 32 del Reglamento de Datos).