Condiciones del servicio

1. Quiénes somos y qué regulan estas condiciones

Estas condiciones generales regulan el contrato entre [PENDIENTE: nombre del titular] (NIF [PENDIENTE: NIF], con domicilio en [PENDIENTE: domicilio], que opera con el nombre comercial NextAura; en adelante, el Prestador) y la persona física o jurídica que contrata el servicio (en adelante, el Cliente) para usar NextAnalyzer: el panel web, el agente de escritorio, la API y los servicios asociados (en adelante, el Servicio).

Forman parte del contrato la Política de privacidad, el Contrato de encargado del tratamiento (que se incorpora como anexo cuando el Cliente trata datos de terceros con el Servicio) y la Política de uso aceptable. Si hay contradicción, prevalece lo pactado por escrito con el Cliente, después el Contrato de encargado en materia de protección de datos y después estas condiciones.

2. Servicio para profesionales

El Servicio está destinado exclusivamente a empresarios, profesionales y organizaciones. Quien lo contrata declara actuar con fines relacionados con su actividad comercial, empresarial, oficio o profesión, y no como consumidor. Si, pese a ello, la ley le reconociera la condición de consumidor, se respetarán los derechos que la normativa de consumidores le atribuya con carácter irrenunciable. Las personas trabajadoras autónomas que lo contratan para su actividad lo hacen como profesionales. El Prestador puede pedir el identificador fiscal y rechazar o resolver los contratos que no tengan finalidad profesional.

3. Definiciones

• Cuenta: el acceso personal de una persona al panel.
• Organización: el espacio del Cliente en el Servicio, con sus miembros, equipos y ajustes.
• Equipo: cada dispositivo vinculado al Servicio mediante el agente.
• Agente: el programa que se instala en los equipos y los comunica con el Servicio, junto con el agente de detección de Wazuh que instala con él.
• Datos del Cliente: la información que el Cliente y su personal introducen o que el agente recoge de sus equipos y de su red.
• Contenido generado por IA: los análisis, resúmenes y correcciones que el Servicio redacta con modelos de inteligencia artificial.

4. Contratación y cuenta

El contrato se perfecciona cuando el Cliente crea la cuenta y acepta estas condiciones marcando la casilla correspondiente, que no viene marcada, tras haber podido leerlas, guardarlas e imprimirlas. Antes de enviar el formulario de registro puede revisar y corregir los datos introducidos. El Prestador archiva el documento electrónico del contrato (la versión aceptada de los textos) y la prueba de la aceptación (documento, versión, fecha, IP y navegador), y se los facilitará al Cliente si los pide. El contrato se celebra en español; las traducciones son de cortesía.

Como ninguna de las partes actúa como consumidora, acuerdan que el Prestador no envíe la confirmación de la aceptación prevista en el artículo 28 de la Ley 34/2002 (LSSI-CE), conforme a su apartado 3.a. El Cliente recibe en todo caso el correo de verificación de la cuenta y puede pedir en cualquier momento la versión de los textos que aceptó.

Quien crea la cuenta declara tener capacidad y facultades para obligar al Cliente, ser mayor de edad y facilitar datos veraces, que mantendrá actualizados. Debe confirmar su correo electrónico para dar de alta equipos.

El Cliente es responsable de custodiar las credenciales y claves de API de su personal y de exigir el segundo factor a sus miembros, que puede configurar en los ajustes de la organización y que el Prestador recomienda activar al menos para propietarios y administradores. Toda actividad realizada desde una cuenta o una clave de API se presume realizada por el Cliente. El Cliente debe avisar sin demora de cualquier uso no autorizado.

Si el Cliente da acceso a su organización a un tercero que le presta servicios (por ejemplo, un proveedor de servicios gestionados), ese tercero actúa por cuenta del Cliente, que responde de sus actuaciones en el Servicio.

5. Prueba gratuita

Las organizaciones nuevas disfrutan de una prueba gratuita de catorce días del plan Business, con hasta cinco equipos y sin necesidad de tarjeta. Al terminar sin contratar un plan, la organización pasa a modo de solo lectura y, transcurridos treinta días en ese estado, se suspende. El Prestador puede limitar o cancelar pruebas en caso de abuso. Durante la prueba, el Servicio se presta sin compromiso de disponibilidad.

6. Planes, límites y precios

Los planes, sus límites (usuarios, equipos incluidos y equipos extra, análisis con IA al mes) y sus funciones se publican en la página de precios. Los precios se expresan sin impuestos y se facturan con los impuestos que correspondan según la normativa y los datos fiscales del Cliente.

Las funciones marcadas como «próximamente» no forman parte del contrato hasta que estén disponibles. El Prestador podrá modificar los precios con un preaviso de treinta días, que se aplicará a partir de la siguiente renovación; si el Cliente no está de acuerdo, podrá cancelar antes de que se aplique.

7. Facturación y pago

El Servicio se contrata por periodos mensuales con renovación automática y se cobra por anticipado mediante la pasarela de pago (Stripe). Los equipos extra se cuentan por el máximo diario del periodo y se cobran prorrateados por días.

El Prestador emite una factura por cada cobro, en formato electrónico y con un sistema informático de facturación conforme al Real Decreto 1007/2023 (VeriFactu), a los datos fiscales que el Cliente haya facilitado en Facturación. El Cliente es responsable de que sean exactos y de validar su número de IVA si es un empresario de otro Estado miembro; si no puede validarse, se aplicará el IVA español. Las facturas no se modifican: los errores se corrigen con facturas rectificativas.

Si falla un cobro, el Cliente dispone de siete días de gracia con aviso. Transcurridos, la organización pasa a modo de solo lectura (los equipos siguen protegidos con su última política, pero no se pueden dar de alta equipos ni cambiar políticas) y, a los treinta días, se suspende. Las cantidades vencidas devengarán los intereses de demora y la indemnización por costes de cobro de la Ley 3/2004, de medidas de lucha contra la morosidad en las operaciones comerciales.

8. Cambios de plan, renovación y cancelación

Subir de plan se aplica de inmediato con el prorrateo correspondiente; bajar de plan se aplica al final del periodo, y si la organización supera los nuevos límites, el Cliente debe elegir qué usuarios y equipos se mantienen. Las funciones que se pierdan se desactivan y los datos que solo existían por ellas (por ejemplo, el historial de actividad) se borran según su retención.

El Cliente puede cancelar la suscripción en cualquier momento; la cancelación surte efecto al final del periodo ya pagado, durante el cual podrá seguir usando el Servicio. Salvo error imputable al Prestador o disposición legal en contrario, no se reembolsan periodos ya iniciados.

9. Licencia de uso

El Prestador concede al Cliente una licencia limitada, no exclusiva, intransferible y revocable para usar el Servicio y el agente durante la vigencia del contrato y dentro de los límites de su plan. El software se licencia, no se vende.

El Cliente no podrá, salvo que la ley lo permita expresamente: copiar, modificar, descompilar o realizar ingeniería inversa del software; sublicenciarlo o ponerlo a disposición de terceros ajenos al Cliente; eludir los límites técnicos o del plan; ni usarlo para construir un servicio competidor. Los componentes de software libre se rigen por sus propias licencias, que prevalecen sobre esta cláusula en lo que les afecte.

10. Responsabilidad del Cliente sobre equipos y personas

El Cliente declara que es propietario de los equipos y de las redes en que usa el Servicio o que tiene derecho a hacerlo, y es el único responsable de contar con una base jurídica para el tratamiento de los datos de las personas que usan esos equipos, de informarles de forma previa, expresa, clara y concisa y de respetar sus derechos, en especial los de las personas trabajadoras (arts. 87 a 91 de la LOPDGDD y arts. 20.3, 20 bis y 64.5 del Estatuto de los Trabajadores) y los de los menores.

El historial de actividad está desactivado por defecto. Solo el propietario puede activarlo, tras declarar que ha informado a los usuarios de los equipos y que tiene base legal para hacerlo; el Cliente debe haber realizado, cuando sea obligatoria, su evaluación de impacto, para la que el Prestador le facilita un modelo. Mientras está activo, el equipo muestra un aviso permanente que el Cliente no puede ocultar. Queda prohibido usar el Servicio para vigilancia encubierta, para fines discriminatorios o ilícitos, o para tratar contenido de comunicaciones.

El Cliente decide qué avisos y alertas reciben sus miembros y por qué canales, y al configurarlos respetará su derecho a la desconexión digital (artículo 88 de la LOPDGDD) y su política interna. Tampoco usará el Servicio, ni sus funciones de inteligencia artificial, para supervisar o evaluar el rendimiento o el comportamiento de las personas trabajadoras ni para decidir sobre su relación laboral.

El Prestador puede suspender la función afectada o el Servicio si hay indicios razonables de que se usa en contra de estas condiciones, con aviso previo salvo urgencia.

11. Uso aceptable

El Cliente y su personal usarán el Servicio conforme a la ley y a la Política de uso aceptable, sin comprometer la seguridad, la disponibilidad ni la integridad del Servicio ni de otros clientes.

12. Cambios en los equipos, acceso remoto y scripts

El agente puede modificar la configuración de los equipos del Cliente (por ejemplo, el cortafuegos, el servidor DNS, las políticas de los navegadores, el bloqueo de contenido o una autoridad de certificación local que solo sirve para mostrar la página de aviso de las webs bloqueadas) y ejecutar órdenes que el Cliente solicite (reiniciar, apagar, actualizar controladores o programas, aplicar correcciones o ejecutar scripts). Esos cambios se guardan para poder revertirse cuando es técnicamente posible y quedan registrados en la auditoría, pero producen efectos en los sistemas del Cliente, que los autoriza y asume.

El acceso remoto lo configura el Cliente. Las sesiones asistidas requieren que la persona que usa el equipo las acepte; si el Cliente configura el acceso desatendido o permite grabar las sesiones (la grabación se hace en el navegador del técnico y no se guarda en la plataforma), es responsable de haber informado previamente a esas personas y de tener base para ello. Las sesiones del soporte del Prestador son siempre asistidas, con motivo, sin grabación y auditadas; están permitidas por defecto y el Cliente puede desactivarlas en su política de acceso remoto.

Los scripts de la biblioteca de la organización los escribe y aprueba el Cliente; la plataforma firma cada versión aprobada y el agente comprueba la firma antes de ejecutarla. Su contenido y sus efectos son responsabilidad exclusiva del Cliente. Pueden ejecutarse con privilegios de administrador: se recomienda probarlos antes en un equipo de prueba.

Se recomienda probar las nuevas versiones del agente en un grupo con actualización retrasada y disponer de copias de seguridad. Las órdenes que cierren o reinicien equipos pueden provocar la pérdida de trabajo no guardado.

13. Seguridad, vulnerabilidades e inteligencia artificial

El Servicio ayuda a identificar riesgos, pero no garantiza detectar todas las amenazas, vulnerabilidades o incidentes, ni que los equipos estén libres de ellos, ni sustituye una auditoría de seguridad. La información sobre vulnerabilidades procede de fuentes públicas que pueden ser incompletas o inexactas. La relación con NIS2, el Esquema Nacional de Seguridad o ISO/IEC 27001 que muestra el Servicio es orientativa y no certifica el cumplimiento.

El Contenido generado por IA se elabora con modelos de un proveedor externo (Anthropic) a partir de datos minimizados, se identifica siempre como tal y puede contener errores. Las correcciones propuestas pueden ser revisadas por el Prestador, genéricas o redactadas por IA (estas solo para vulnerabilidades sin corrección en el catálogo, a partir del identificador CVE, el sistema operativo y el idioma). El Cliente debe revisarlas antes de aplicarlas y las aplica bajo su responsabilidad; la IA nunca aplica cambios por sí sola.

El resumen semanal por correo (planes Business y Enterprise) es opcional: cada usuario lo activa y desactiva en su cuenta. El Cliente no usará el Contenido generado por IA como base única de decisiones que afecten a personas. Las funciones de IA no están destinadas a los fines del anexo III del Reglamento (UE) 2024/1689 (en particular, la gestión de personas trabajadoras); usarlas para ellos es un uso no previsto del que responde el Cliente.

14. Protección de datos

Respecto de los datos de las personas que usan los equipos y de los demás Datos del Cliente, el Cliente es el responsable del tratamiento y el Prestador, su encargado, conforme al Contrato de encargado del tratamiento, que el Cliente acepta al aceptar estas condiciones. Respecto de los datos de cuenta, facturación y soporte, el Prestador es responsable, según su Política de privacidad.

Los Datos del Cliente son del Cliente. El Prestador solo los tratará para prestar el Servicio y conforme a sus instrucciones.

15. Disponibilidad y soporte

El Prestador procura que el Servicio esté disponible de forma continuada, pero no garantiza una disponibilidad ininterrumpida; puede realizar tareas de mantenimiento, con aviso previo cuando sea posible. Salvo que se pacte por escrito un acuerdo de nivel de servicio (por ejemplo, en el plan Enterprise), no se asumen compromisos de disponibilidad ni de tiempo de respuesta.

El soporte se presta por el chat del panel, en el horario de atención publicado, y por correo electrónico. Para operar la plataforma, el personal autorizado del Prestador ve los datos técnicos básicos de los equipos; para ver el detalle de una organización necesita un acceso temporal, de solo lectura, con motivo y aviso al propietario, y nunca accede al historial de actividad. Las órdenes de mantenimiento que ese personal envíe a un equipo para resolver una incidencia llevan motivo y quedan en la auditoría de la organización.

16. Garantías y limitación de responsabilidad

En la máxima medida permitida por la ley, el Servicio se presta «tal cual» y el Prestador no ofrece garantías distintas de las expresamente previstas aquí.

El Prestador no responderá de los daños indirectos, del lucro cesante, de la pérdida de oportunidades, de ingresos o de reputación, ni de los daños derivados de la actuación del Cliente o de terceros, de un uso contrario a estas condiciones, de cambios que el Cliente ordene en sus equipos o de causas ajenas a su control razonable. Tampoco de la pérdida de datos que el Cliente hubiera podido evitar con copias de seguridad razonables.

La responsabilidad total acumulada del Prestador frente al Cliente por cualquier causa no excederá de las cantidades pagadas por el Cliente por el Servicio en los doce meses anteriores al hecho que la origine (cien euros si solo ha usado la prueba gratuita).

Estas limitaciones no se aplicarán a la responsabilidad que no pueda limitarse conforme a la ley, en particular por dolo o culpa grave o por daños a las personas, ni limitan los derechos que el artículo 82 del RGPD reconoce a las personas interesadas.

17. Indemnidad

El Cliente mantendrá indemne al Prestador frente a las reclamaciones de terceros, incluidas las de las personas usuarias de los equipos y las de las autoridades, que se deriven de un uso del Servicio contrario a la ley o a estas condiciones, o del incumplimiento de las obligaciones del Cliente en materia de información y base jurídica sobre las personas cuyos datos trate con el Servicio.

El Prestador mantendrá indemne al Cliente frente a las reclamaciones de terceros que aleguen que el Servicio, usado conforme a estas condiciones, infringe sus derechos de propiedad intelectual o industrial, siempre que el Cliente se lo comunique sin demora y le permita dirigir la defensa.

18. Propiedad intelectual

El Prestador conserva todos los derechos sobre el Servicio, el agente, la documentación y las marcas NextAura y NextAnalyzer. El Cliente puede usar libremente, para su organización, los informes y el Contenido generado por IA que obtenga del Servicio. Las sugerencias que el Cliente envíe podrán usarse sin compensación. El Servicio incluye software de terceros, incluido software libre, sujeto a sus propias licencias.

19. Confidencialidad

Cada parte mantendrá la confidencialidad de la información no pública de la otra a la que acceda por el contrato y la usará solo para cumplirlo, durante el contrato y cinco años después, salvo que deba revelarla por ley o por resolución de una autoridad.

20. Suspensión y resolución

El Prestador podrá suspender o resolver el contrato, con aviso previo salvo urgencia por seguridad o por ilicitud, por impago, incumplimiento grave de estas condiciones, uso ilícito o riesgo para el Servicio o para terceros. El Cliente puede resolverlo cancelando su suscripción o pidiendo la baja de la organización.

21. Salida, portabilidad y supresión de los datos

El Cliente puede exportar en cualquier momento sus datos: el propietario descarga desde Ajustes una exportación completa de los Datos del Cliente en JSON, también durante el plazo de la baja; además están las exportaciones del panel (hallazgos en CSV, informes en PDF y facturas) y, en los planes que la incluyen, la API. Si necesita otro formato estructurado y de uso común (como CSV), el Prestador se lo entregará a petición en un plazo máximo de treinta días. Al pedir la baja de la organización dispone de treinta días para exportarlos o cancelar la baja; transcurridos, los Datos del Cliente se suprimen, incluidas las copias de seguridad en su ciclo ordinario de rotación, salvo los que el Prestador deba conservar bloqueados por obligación legal (como las facturas y la auditoría de seguridad, esta hasta tres años).

Conforme al capítulo VI del Reglamento (UE) 2023/2854 de Datos: (a) el Cliente puede pedir, con un preaviso máximo de dos meses, el cambio a otro proveedor de servicios de tratamiento de datos o a su propia infraestructura, o solo la supresión de sus datos; (b) tras el preaviso hay un periodo de transición de treinta días, que el Cliente puede ampliar una vez si lo necesita, durante el cual el Prestador sigue prestando el Servicio con plena continuidad, le ayuda a extraer sus datos exportables y le presta la asistencia razonable; si ese plazo no fuera técnicamente viable, se lo comunicará motivadamente en catorce días con un plazo alternativo de hasta siete meses; (c) el contrato termina al completarse el cambio o, si el Cliente solo quiere borrar sus datos, al terminar el preaviso; (d) después dispone de al menos treinta días más para recuperar sus datos, y transcurridos se suprimen por completo; (e) el Prestador no cobra cargos por el cambio ni por la extracción. Los agentes se desinstalan con la orden de retirada o con el desinstalador, que revierte los cambios reversibles aplicados en los equipos (DNS, políticas de navegador, cortafuegos y autoridad de certificación local) y borra los datos locales del agente.

Datos exportables: todos los que el Cliente y su personal han introducido o el agente ha recogido de sus equipos y de su red, y la configuración de la organización (grupos, políticas, reglas de alertas, scripts y sus versiones, canales e integraciones sin sus secretos), con el formato de la exportación completa, cuya descripción (tablas, columnas y tipos) el Prestador facilita a petición. No se exportan, por seguridad o por ser activos del Prestador: las contraseñas, claves y secretos (solo se guardan sus huellas o cifrados), los certificados de la plataforma, el código del Servicio y del agente, el catálogo de correcciones del Prestador, los eventos en bruto del motor de detección y las notas internas del soporte.

La infraestructura del Servicio está en el Espacio Económico Europeo (jurisdicción indicada en el Anexo III del Contrato de encargado). Frente a solicitudes de acceso o transferencia de Datos del Cliente no personales por autoridades de terceros países que contravengan el Derecho de la Unión o de España (artículo 32 del Reglamento de Datos), el Prestador solo atiende las que tengan base jurídica válida, las examina, entrega lo mínimo imprescindible e informa al Cliente antes, salvo que la ley lo prohíba; además, cifra las comunicaciones y minimiza lo que envía a proveedores fuera del EEE.

22. Modificación de las condiciones

El Prestador podrá modificar estas condiciones por motivos legales, técnicos o de negocio, avisando al Cliente por correo y en el panel con al menos treinta días de antelación, salvo que el cambio venga impuesto por la ley o sea en beneficio del Cliente. Si el Cliente no está de acuerdo, podrá cancelar antes de la fecha de efecto sin penalización; si continúa usando el Servicio después, se entenderá que acepta la nueva versión, que se le pedirá confirmar en el panel cuando el cambio sea sustancial.

23. Disposiciones generales

• Cesión: el Prestador podrá ceder el contrato a quien le suceda en el negocio, avisando al Cliente; el Cliente necesita su consentimiento.
• Fuerza mayor: ninguna parte responde del incumplimiento causado por hechos fuera de su control razonable.
• Notificaciones: se harán por correo electrónico a la dirección de la cuenta del propietario y, cuando proceda, en el panel. Las del Cliente al Prestador, a [PENDIENTE: correo].
• Nulidad parcial: si una cláusula fuera nula, el resto seguirá vigente y la nula se sustituirá por la válida más próxima a su finalidad.
• Integridad: estas condiciones y los documentos que incorporan constituyen el acuerdo completo entre las partes sobre el Servicio, salvo lo pactado por escrito.

24. Ley aplicable y jurisdicción

El contrato se rige por la legislación española. Las partes se someten, con renuncia a cualquier otro fuero que pudiera corresponderles, a los juzgados y tribunales de la ciudad del domicilio del Prestador, salvo que una norma imperativa disponga otro.

Contacto para cualquier cuestión sobre estas condiciones: [PENDIENTE: correo].