Política de privacidad

1. Quién es el responsable

El responsable del tratamiento de los datos descritos en esta política es:

• Identidad: [PENDIENTE: nombre del titular] (NIF [PENDIENTE: NIF]), que opera con el nombre comercial NextAura
• Domicilio: [PENDIENTE: domicilio]
• Correo electrónico de contacto para privacidad: [PENDIENTE: correo]

Si se designa un delegado de protección de datos (artículo 37 del Reglamento (UE) 2016/679, RGPD, y artículo 34 de la Ley Orgánica 3/2018, LOPDGDD), sus datos de contacto figurarán en esta sección y se comunicarán a la Agencia Española de Protección de Datos. Mientras tanto, cualquier cuestión de privacidad se atiende en el correo indicado.

2. Dos papeles distintos: responsable y encargado

Tratamos datos personales en dos papeles diferentes, y conviene distinguirlos:

• Como responsable, tratamos los datos de las personas que visitan el sitio, crean una cuenta, usan el panel, contratan el servicio o nos escriben: es lo que explica esta política.
• Como encargado del tratamiento, tratamos por cuenta de cada organización cliente los datos de sus equipos, de su red y de las personas que usan esos equipos (inventario, métricas, vulnerabilidades, alertas, descubrimiento de red, sesiones de acceso remoto, scripts y, si la organización lo activa, historial de actividad). Esa organización es la responsable de esos datos y nosotros los tratamos solo siguiendo sus instrucciones, conforme al Contrato de encargado del tratamiento (artículo 28 del RGPD).

Si usas un equipo con el agente de NextAnalyzer instalado por tu organización, el responsable de tus datos en ese equipo es tu organización, no nosotros: dirígete a ella para ejercer tus derechos. Si nos escribes, trasladaremos tu solicitud a tu organización.

3. Qué datos tratamos y de dónde vienen

Tratamos las siguientes categorías, que obtenemos de ti, de tu organización (por ejemplo, cuando te invita o cuando inicia sesión con su proveedor de identidad) o de tu uso del servicio:

• Datos de cuenta: nombre, correo electrónico, idioma, contraseña (solo su derivación irreversible), configuración del segundo factor, identificador en el proveedor de identidad de tu organización si usa inicio de sesión único (SSO), sesiones abiertas (navegador e IP) y preferencias de avisos, incluida la suscripción al resumen semanal.
• Datos de la organización: nombre, rol de cada persona, miembros e invitaciones.
• Datos de facturación: razón social o nombre y apellidos, identificador fiscal, domicilio, país, correo de facturación, el resultado de la validación de tu número de IVA intracomunitario en el sistema VIES y los registros de facturación exigidos por la normativa (VeriFactu). Los datos de la tarjeta los recoge directamente la pasarela de pago; nosotros no los vemos ni los guardamos.
• Datos de soporte: las incidencias que abres, sus mensajes, los adjuntos que subes (imágenes o PDF), los equipos afectados que indicas y tu valoración de la atención.
• Datos de uso de funciones de inteligencia artificial: qué análisis pides, cuándo y quién, y el resultado generado.
• Registros de seguridad y auditoría: acciones realizadas en el panel y en la API, accesos y su origen, claves de API (solo su huella) y accesos de nuestro equipo de soporte a tu organización.
• Prueba de aceptación de textos legales: documento, versión, fecha, IP y navegador.
• Visitantes del sitio público: la dirección IP y los datos técnicos de la petición, que el servidor usa para servir la página y protegerse frente a abusos, y la moneda que elijas para ver los precios. Los registros técnicos del servidor se conservan un máximo de treinta días y después se borran. No usamos analítica ni perfiles de visitantes.

Los datos que los formularios marcan como obligatorios (nombre, correo y contraseña para crear la cuenta; los datos fiscales para facturar) son necesarios para celebrar y ejecutar el contrato o los exige la ley: sin ellos no podemos crear la cuenta ni emitir las facturas. El resto son opcionales.

4. Para qué, con qué base jurídica y cuánto tiempo

• Crear y gestionar tu cuenta y prestarte el servicio contratado (incluida la prueba gratuita, el inicio de sesión único y la API). Base: ejecución del contrato (art. 6.1.b RGPD); para los miembros invitados por un cliente, interés legítimo de este y nuestro en prestarle el servicio (art. 6.1.f). Conservación: mientras la cuenta esté activa. Al pedir la baja de la organización, sus datos se borran a los treinta días (antes, se puede cancelar), y tu cuenta, cuando ya no pertenezca a ninguna organización.
• Facturar, cobrar y cumplir obligaciones fiscales y contables, incluidos los registros VeriFactu y su remisión a la Agencia Tributaria. Base: obligación legal (art. 6.1.c; Ley 37/1992 del IVA, Real Decreto 1619/2012 de facturación, Real Decreto 1007/2023 de sistemas informáticos de facturación, Ley General Tributaria y artículo 30 del Código de Comercio). Conservación: seis años desde el cierre del ejercicio, y más si hay una actuación tributaria en curso.
• Garantizar la seguridad del servicio, detectar fraudes y abusos y llevar la auditoría. Base: interés legítimo (art. 6.1.f) y la obligación de seguridad (art. 32 RGPD). Conservación: los intentos de acceso fallidos, quince minutos; las sesiones, con su navegador e IP, doce meses después de caducar o cerrarse; la auditoría, mientras exista la organización y, tras su baja, la auditoría se conserva bloqueada hasta tres años para atender reclamaciones y requerimientos (plazo de prescripción de las infracciones del artículo 72 de la LOPDGDD).
• Atender tus consultas e incidencias de soporte. Base: ejecución del contrato o medidas precontractuales (art. 6.1.b). Conservación: las incidencias resueltas se borran con sus mensajes y adjuntos a los doce meses de resolverse (plazo configurable); antes, si se borra tu usuario o la organización.
• Pedirte una única vez, por correo, que valores la atención tras resolver una incidencia, si aún no lo has hecho. Base: interés legítimo en medir y mejorar la calidad del soporte (art. 6.1.f). No hay recordatorios ni contenido promocional, y puedes oponerte escribiéndonos.
• Generar, cuando tú o tu organización lo pedís, análisis y textos con inteligencia artificial (explicaciones de vulnerabilidades, prioridades, análisis de equipos, resúmenes de informes, correcciones redactadas para vulnerabilidades sin corrección en el catálogo y el resumen semanal por correo). Base: ejecución del contrato (art. 6.1.b). Antes de enviarlos al proveedor de IA, minimizamos los datos (ver más abajo). Conservación: el último resultado de cada análisis se conserva mientras exista la organización, para enseñarlo en el panel.
• Enviarte el resumen semanal de seguridad por correo, si lo activas en tu cuenta (planes Business y Enterprise). Base: tu solicitud en el marco del contrato (art. 6.1.b). Puedes desactivarlo cuando quieras desde Mi cuenta.
• Enviarte comunicaciones necesarias del servicio (verificación, avisos de seguridad, alertas que hayas activado, facturas y cambios en las condiciones). Base: ejecución del contrato. No son comunicaciones comerciales.
• Acreditar que aceptaste las condiciones y los textos legales. Base: interés legítimo en poder probarlo y defenderse ante reclamaciones (art. 6.1.f). Conservación: la duración de la relación y, después, bloqueada durante los plazos de prescripción de las acciones.

Al terminar cada plazo, los datos se suprimen o, cuando la ley lo exige, se conservan bloqueados solo a disposición de jueces, tribunales y administraciones durante la prescripción de las responsabilidades (art. 32 LOPDGDD).

5. Inteligencia artificial

Las funciones de inteligencia artificial usan modelos Claude del proveedor Anthropic, a través de su API comercial. Según sus condiciones comerciales, Anthropic no usa los datos que recibe por la API para entrenar sus modelos.

Antes de enviar nada, la plataforma minimiza los datos: los nombres de los equipos se sustituyen por alias, no se envían nombres de usuario, correos, direcciones completas de páginas, IP públicas ni direcciones MAC, y de las IP privadas solo el rango. El historial de actividad, los registros de eventos, los números de serie y el contenido del chat de soporte nunca se envían. Las correcciones redactadas por IA para vulnerabilidades sin corrección en el catálogo solo envían el identificador CVE, el sistema operativo y el idioma, sin datos de la organización.

Todo contenido generado con IA se identifica como tal en el panel, en los informes PDF y en los correos («Generado por IA»), conforme al artículo 50 del Reglamento (UE) 2024/1689 de inteligencia artificial, y debe revisarse antes de actuar. La IA no toma decisiones sobre personas ni aplica cambios por sí sola: una corrección solo se ejecuta si la crea y aprueba una persona de la organización.

Las funciones de inteligencia artificial no están destinadas a supervisar ni a evaluar el rendimiento o el comportamiento de las personas trabajadoras, ni a tomar decisiones sobre su relación laboral, y no pueden usarse para ello (lo que las convertiría en un sistema de alto riesgo del anexo III del Reglamento de IA). Por eso no reciben el historial de actividad, los nombres de las cuentas ni los datos que identifican a quien usa cada equipo.

6. A quién comunicamos los datos

No vendemos tus datos ni los cedemos con fines comerciales. Solo los comunicamos a:

• Proveedores que nos prestan servicios necesarios y actúan como encargados del tratamiento, con contrato conforme al artículo 28 del RGPD: alojamiento del servidor, correo electrónico transaccional, la pasarela de pago y el proveedor de inteligencia artificial (Anthropic), este solo con datos minimizados. La lista vigente, con su ubicación y garantías, figura en el Anexo III del Contrato de encargado del tratamiento.
• La pasarela de pago, Stripe Payments Europe Ltd. (Irlanda), que además trata los datos de pago como responsable independiente para sus propias obligaciones legales, como la prevención del fraude y del blanqueo de capitales.
• La Agencia Tributaria y la Comisión Europea (validación del número de IVA en VIES), cuando la normativa fiscal lo exige.
• Los servicios que tu organización conecte por su cuenta (Microsoft Teams, Slack, webhooks, Jira, Freshdesk, HaloPSA, su proveedor de identidad u otros): reciben lo que la organización configure, por su instrucción y bajo su responsabilidad.
• Administraciones públicas, jueces y tribunales cuando una norma lo exija.

7. Transferencias internacionales

Alojamos la plataforma en el Espacio Económico Europeo. Algunos proveedores tratan datos fuera de él: el proveedor de inteligencia artificial (Anthropic, en Estados Unidos) y, en su caso, empresas del grupo de la pasarela de pago. En esos casos aplicamos garantías adecuadas: la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. cuando la entidad está adherida y, en todo caso, las cláusulas contractuales tipo aprobadas por la Comisión Europea incluidas en sus acuerdos de tratamiento de datos, con medidas complementarias como el cifrado en tránsito y la minimización previa (artículos 45 y 46 del RGPD). Puedes pedirnos una copia de esas garantías en [PENDIENTE: correo].

8. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar los consentimientos que hubieras dado, escribiendo a [PENDIENTE: correo] e indicando el derecho que ejercitas. Podemos pedirte que acredites tu identidad si hay dudas razonables. Muchos datos puedes verlos, corregirlos o exportarlos tú mismo desde el panel (Mi cuenta, Facturación y las exportaciones); el propietario de una organización puede descargar en cualquier momento, desde Ajustes, una exportación completa de sus datos en JSON. También puedes oponerte a los tratamientos basados en el interés legítimo por motivos relacionados con tu situación particular.

Responderemos en el plazo de un mes, ampliable en dos meses más si la complejidad o el número de solicitudes lo justifica (artículo 12 del RGPD). El ejercicio es gratuito, salvo solicitudes manifiestamente infundadas o excesivas.

Si consideras que tus derechos no se han atendido, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es, C/ Jorge Juan, 6, 28001 Madrid). Antes, si lo prefieres, puedes escribirnos para intentar resolverlo.

9. Decisiones automatizadas

No tomamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre ti o te afecten significativamente (artículo 22 del RGPD). La puntuación de seguridad de los equipos es informativa, la calcula la plataforma con una fórmula determinista sobre datos técnicos y no elabora perfiles de personas.

10. Cómo protegemos tus datos

Aplicamos medidas técnicas y organizativas proporcionadas al riesgo (artículo 32 del RGPD), entre ellas: comunicaciones cifradas con TLS y autenticación mutua con certificados entre los equipos y la plataforma; contraseñas almacenadas con una función de derivación de claves lenta (scrypt); segundo factor de autenticación; sesiones con cookies cifradas y protegidas; separación estricta entre los accesos de clientes, empleados y equipos; control de acceso por roles; secretos cifrados; registro de auditoría de las acciones sensibles; y minimización de los datos que se envían a modelos de inteligencia artificial. El detalle figura en el Anexo II del Contrato de encargado del tratamiento.

Si se produjera una violación de la seguridad, la notificaremos a la autoridad de control en un máximo de setenta y dos horas cuando proceda y, si supone un riesgo alto para ti, te lo comunicaremos sin dilación indebida (artículos 33 y 34 del RGPD).

11. Menores y uso profesional

El servicio está dirigido a profesionales y organizaciones. No está destinado a menores de 14 años ni recogemos conscientemente sus datos como responsables. Si crees que un menor nos ha facilitado datos, escríbenos y los suprimiremos. Si una organización usa el servicio en equipos que usan menores (por ejemplo, un centro educativo), es ella quien responde de ese tratamiento.

12. Cookies

Solo usamos cookies y almacenamiento local técnicos o de preferencias que tú eliges. Los detalles figuran en la Política de cookies.

13. Cambios en esta política

Podemos actualizar esta política para reflejar cambios legales o del servicio. Cuando el cambio sea relevante te lo avisaremos por correo y en el panel, y la versión vigente y su fecha siempre estarán en esta página.