DefenceLevel
Política de privacidad
Qué datos personales tratamos, por qué, con quién, durante cuánto tiempo y cuáles son tus derechos. Recogemos lo mínimo imprescindible para que el servicio funcione: sin publicidad, sin elaboración de perfiles, sin herramientas de análisis del comportamiento.
1. Responsable del tratamiento
SCARAFILE Consulting S.R.L., Piața Victoriei 4, ap. 9C, 300006 Timișoara, Rumanía · NIF-IVA RO42858116 · Registro Mercantil J35/2040/2020.
Para cualquier pregunta o solicitud sobre tus datos: privacy@defencelevel.com.
2. Qué datos tratamos
| Dato | Origen | Para qué sirve |
|---|---|---|
| Dirección de correo electrónico | La introduces tú para iniciar la prueba | Crear la cuenta, enviarte el enlace de acceso, el informe, las alertas y las comunicaciones sobre el servicio y la suscripción |
| Idioma preferido | El idioma del sitio en el momento del registro, o el que elijas en el panel | Escribirte en tu idioma |
| Productos y fabricantes que indicas en My Defence (tu infraestructura), las notas que escribes en las zonas y tus elecciones sobre el informe y las alertas por correo | Los introduces tú, si quieres, en la página My Defence del panel | Mostrarte qué entradas del informe afectan a tus productos y enviarte solo los correos que has elegido |
| Estado de la suscripción | Generado por el servicio y por Stripe | Saber si estás en prueba, suscrito o con la suscripción terminada; fecha de fin de la prueba y de renovación |
| Identificadores de cliente y de suscripción de Stripe | Stripe | Vincular tu cuenta con los pagos. No vemos ni guardamos los datos de la tarjeta |
| Datos de facturación (nombre, dirección y, si compras para una empresa, razón social y NIF-IVA) | Los introduces en la página de pago de Stripe | Emitir las facturas y aplicar el IVA correcto |
| Registro de los correos enviados | Generado por el servicio y por Resend | Saber qué correos te hemos enviado y si se entregaron, para evitar duplicados y reenviar los que no se entregaron; para el informe y las alertas, también tu elección en My Defence en ese momento, para comprobar que los correos salen como elegiste |
| Fecha y hora de tu última actividad en el sitio con tu cuenta, con el país (deducido de la dirección IP, que no se guarda) y el tipo de dispositivo (ordenador, teléfono o tableta) | Registrados por el servicio cuando usas el sitio con la sesión iniciada (panel, páginas, exportaciones), como máximo una vez cada 10 minutos; solo se guardan los últimos | Saber si el servicio se usa también en el sitio, además de los correos, para mejorarlo |
| Accesos a tu cuenta: fecha y hora, navegador, sistema operativo, tipo de dispositivo (ordenador, teléfono o tableta) y país (deducido de la dirección IP, que no se guarda) | Registrados por el servicio cada vez que entras con un enlace de acceso o de confirmación | Mostrarte en la página Cuenta los accesos recientes, para que puedas reconocer un acceso que no es tuyo y cerrar la sesión en los demás dispositivos |
| Segunda dirección para las alertas: la dirección de correo de una persona que indicas tú (por ejemplo un compañero o el buzón de tu equipo), con el estado de su confirmación | La introduces tú, si quieres, en la página Cuenta; la persona indicada confirma con el enlace que le enviamos | Enviarle una copia de las alertas DEFCON 1 y 2 que recibes tú, solo después de su confirmación |
| Huella de la dirección de correo (un código calculado a partir de la dirección, con el que la dirección no se puede reconstruir) | La genera el servicio cuando eliminas tu cuenta después de usar la prueba gratuita | No conceder una segunda prueba gratuita a la misma dirección |
| Datos técnicos de conexión (dirección IP, tipo de navegador, hora) | Recogidos automáticamente por los servidores que alojan el sitio | Seguridad y funcionamiento técnico del sitio |
| Mensajes que nos escribes | Tú, por correo electrónico | Responderte |
| Estadísticas de visitas: página vista, fecha y hora, país (deducido de la dirección IP, que no se guarda), sitio o campaña de procedencia, idioma y tipo de dispositivo, con un código anónimo que cambia cada día | Generadas por el sitio cuando miras una página unos segundos o la usas, sin cookies | Saber cuántas personas visitan el sitio y de dónde llegan, para mejorarlo y entender qué canales funcionan |
| Procedencia del registro (por ejemplo LinkedIn o un buscador, la campaña, el país y la página desde la que te registraste) | Generada por el servicio cuando te registras, a partir de la visita en la que te registras | Entender qué canales traen suscriptores |
| Intentos de registro: fecha y hora, resultado, país (deducido de la dirección IP, que no se guarda), dominio de la dirección de correo (la parte después de la @, nunca la dirección) y resultado del control antibots | Generados por el servicio cada vez que se envía el formulario de registro, o el de acceso con una dirección no registrada | Proteger el servicio de los registros automáticos y del envío de correos a direcciones de otras personas |
| Control antibots (Vercel BotID): una prueba automática que tu navegador calcula a partir de sus características técnicas cuando envías el formulario de registro o de acceso, sin cookies y sin guardar nada en el navegador | Tu navegador, en las páginas con esos formularios; la verificación la hace Vercel, el proveedor que aloja el sitio | Reconocer las solicitudes de programas automáticos; por ahora solo se registra el resultado, sin bloquear nada |
Los datos de la tarjeta (número, fecha de caducidad, código de seguridad) los introduces directamente en las páginas de Stripe y solo los trata Stripe: nosotros no los vemos. De Stripe recibimos el resultado de los pagos y los datos de facturación indicados arriba.
No tratamos categorías especiales de datos (salud, opiniones, origen, etc.). Los únicos datos sobre tus sistemas son los que decides indicar en My Defence (fabricantes, productos y notas sobre las zonas): es opcional y, sin ellos, el servicio funciona igual, con todos los correos.
3. Finalidades y bases jurídicas
| Finalidad | Base jurídica |
|---|---|
| Prestar el servicio: cuenta, acceso, informe, alertas, panel | Ejecución del contrato (art. 6.1.b RGPD) |
| Gestionar la prueba, la suscripción, los pagos y las comunicaciones correspondientes | Ejecución del contrato (art. 6.1.b) |
| Adaptar el panel y los correos a los productos que indicas en My Defence | Ejecución del contrato (art. 6.1.b), a petición tuya |
| Reconocer los nombres que añades en My Defence y que nuestro catálogo no conoce: los buscamos, sin ningún dato sobre ti, en las fichas públicas de vulnerabilidades y en la National Vulnerability Database (NVD) del NIST; si existen, entran en el catálogo con su nombre oficial | Ejecución del contrato (art. 6.1.b), a petición tuya |
| Emitir las facturas y conservar los documentos contables y fiscales | Obligación legal (art. 6.1.c) |
| Proteger el sitio y el servicio frente a abusos y ataques; comprobar la entrega de los correos | Interés legítimo en un servicio seguro y que funcione (art. 6.1.f) |
| Evitar que la prueba gratuita se use más de una vez con la misma dirección | Interés legítimo en ofrecer la prueba una sola vez por persona (art. 6.1.f) |
| Responder a tus mensajes y a tus solicitudes sobre tus derechos | Ejecución del contrato o medidas precontractuales; obligación legal para las solicitudes del RGPD |
| Medir las visitas al sitio y la procedencia de los registros, de forma anónima o con los datos mínimos | Interés legítimo en conocer y mejorar nuestro propio sitio (art. 6.1.f) |
| Entender si el servicio se usa también en el sitio, además de los correos (fecha y hora de la última actividad) | Interés legítimo en mejorar el servicio (art. 6.1.f) |
| Mostrarte los accesos recientes a tu cuenta y permitirte cerrar la sesión en los demás dispositivos | Interés legítimo en la seguridad de tu cuenta y del servicio (art. 6.1.f) |
| Enviar las copias de las alertas a la segunda dirección que indicas | Ejecución del contrato contigo (art. 6.1.b) y consentimiento de la persona indicada, dado con el enlace de confirmación (art. 6.1.a), que puede retirar en cualquier momento con el enlace al final de cada copia |
Facilitar tu dirección de correo electrónico es necesario para celebrar y ejecutar el contrato: sin ella no podemos prestar el servicio. Los datos de facturación son necesarios para emitir las facturas, como exige la normativa fiscal.
No utilizamos tus datos con fines publicitarios, no los vendemos y no los cedemos a terceros para sus propios fines. No tomamos decisiones automatizadas sobre ti: el nivel DEFCON se calcula a partir de vulnerabilidades públicas, no de personas.
4. A quién confiamos los datos
Recurrimos a proveedores que tratan los datos por cuenta nuestra como encargados del tratamiento, sobre la base de contratos conformes al art. 28 del RGPD:
| Proveedor | Qué hace | Dónde |
|---|---|---|
| Vercel Inc. | Aloja el sitio y las funciones del servicio | Estados Unidos; funciones del servicio en la Unión Europea (Irlanda), páginas desde la red global |
| Supabase Pte. Ltd. (Singapur) | Base de datos del servicio | Unión Europea (Irlanda) |
| Resend (Plus Five Five, Inc.) | Envío de los correos del servicio | Estados Unidos; envío desde infraestructura en la Unión Europea (Irlanda) |
| OVHcloud (OVH Hosting Limited, Irlanda) | Buzón que recibe los mensajes enviados a las direcciones @defencelevel.com | Unión Europea (Francia) |
Stripe (Stripe Payments Europe, Limited, Irlanda) gestiona los pagos como responsable independiente del tratamiento de los datos de pago, conforme a su propia política de privacidad.
El servicio utiliza además herramientas que no reciben datos personales: la supervisión del funcionamiento (Healthchecks.io), la National Vulnerability Database del NIST, a la que solo enviamos nombres de productos, y la API de Anthropic, con la que la inteligencia artificial escribe y verifica los textos del servicio a partir solo de datos públicos de vulnerabilidades: nunca recibe datos de los suscriptores ni de My Defence.
Para los proveedores con sede en Estados Unidos, la transferencia se basa en el EU-US Data Privacy Framework, cuando el proveedor está adherido, o en las cláusulas contractuales tipo aprobadas por la Comisión Europea. Supabase tiene su sede en Singapur, que no cuenta con una decisión de adecuación: la transferencia se basa en las cláusulas contractuales tipo de su acuerdo de tratamiento de datos, y la base de datos permanece en la Unión Europea (Irlanda).
5. Durante cuánto tiempo conservamos los datos
| Dato | Duración |
|---|---|
| Registro nunca confirmado (dirección de correo a la que enviamos el enlace de confirmación, sin que se haya usado) | Se elimina automáticamente a los 3 días, junto con los correos enviados; solo queda el recuento del intento, sin la dirección |
| Cuenta sin una suscripción activa (prueba vencida, suscripción terminada, acceso gratuito finalizado) | Se conserva hasta que la elimines desde el panel o nos pidas borrarla: nunca la eliminamos automáticamente, para que puedas retomar el servicio cuando quieras |
| Cuenta que eliminas desde el panel | Se elimina de inmediato, junto con los datos asociados |
| Registro de los correos enviados | Se elimina junto con la cuenta |
| Productos, notas y elecciones de My Defence | Hasta que los quites de la página My Defence; se eliminan de inmediato si eliminas tu cuenta. En las copias de seguridad de la base de datos permanecen, cifrados, hasta que caducan (como máximo 7 días) |
| Fecha, hora, país y dispositivo de la última actividad | Se sustituyen en cada nueva actividad; se eliminan junto con la cuenta |
| Accesos a la cuenta | 90 días; se eliminan de inmediato si eliminas la cuenta |
| Segunda dirección para las alertas | Hasta que la quites de la página Cuenta o elimines la cuenta; si la persona deja de recibir las copias, se conserva solo para mostrártelo, hasta que la quites |
| Huella de la dirección de correo de quien elimina su cuenta después de usar la prueba | Se elimina automáticamente a los 24 meses |
| Documentos contables y fiscales | Durante el plazo exigido por la ley rumana |
| Datos técnicos de conexión | Durante el plazo limitado previsto por el proveedor de alojamiento, solo con fines de seguridad y funcionamiento |
| Mensajes de correo electrónico | El tiempo necesario para gestionar la solicitud y sus consecuencias |
| Estadísticas de visitas detalladas | 90 días; después solo quedan totales diarios anónimos (por página, procedencia, país y dispositivo) |
| Código anónimo de los visitantes | El valor secreto que lo genera cambia cada día y el del día anterior se borra: el código no se puede vincular contigo, ni entre días distintos |
| Procedencia del registro | Junto con la cuenta |
| Intentos de registro | 12 meses |
6. Cookies y almacenamiento del navegador
El sitio utiliza tres cookies técnicas: is_session, que mantiene tu sesión iniciada en el panel después de usar el enlace recibido por correo (dura como máximo 30 días, se elimina al cerrar la sesión y deja de valer en todos los demás dispositivos cuando cierras su sesión desde la página Cuenta); dl-auth, que no contiene datos y solo indica que tienes la sesión iniciada, para que las páginas públicas muestren el enlace al panel (dura como máximo 30 días y se elimina al cerrar la sesión); y dl-lang, que recuerda el idioma que has elegido en el selector, para que la página principal se abra en ese idioma (dura 12 meses). La elección de idioma se guarda también en el almacenamiento local del navegador, junto con la del tema claro u oscuro y, si la cierras, la invitación a configurar My Defence. Si no has elegido un idioma, la página principal usa el configurado en tu navegador.
Si eliges el tema claro u oscuro con el botón de arriba, tu elección se guarda solo en tu navegador (almacenamiento local, elemento dl-theme): no se nos envía y puedes borrarla en cualquier momento desde la configuración del navegador.
No usamos cookies de perfilado, publicitarias ni de estadística, ni herramientas de terceros que te rastreen. Las estadísticas de visitas descritas arriba no usan cookies ni guardan nada en tu navegador: por eso el sitio no muestra un aviso de cookies (las técnicas no requieren consentimiento). Si tu navegador envía la señal Global Privacy Control o Do Not Track, tu visita no se registra.
7. Tus derechos
Puedes solicitar en cualquier momento:
- el acceso a tus datos y una copia de ellos;
- su rectificación, si son inexactos;
- su supresión (la cuenta y los datos asociados, salvo los que debamos conservar por ley);
- la limitación del tratamiento o la oposición a los tratamientos basados en el interés legítimo;
- recibirlos en un formato estructurado y legible por máquina (portabilidad).
También puedes descargar una copia de tus datos (en un archivo JSON) y eliminar tu cuenta directamente, en cualquier momento, desde la página Cuenta del panel, con los botones «Descargar una copia» y «Eliminar la cuenta».
Escribe a privacy@defencelevel.com desde la dirección de tu cuenta: respondemos en el plazo de un mes. Puedes elegir en My Defence qué correos recibir, pausarlos todos desde la página Cuenta o con el enlace al final de cada correo, o cancelar la suscripción desde el panel.
También tienes derecho a presentar una reclamación ante la autoridad de control: en Rumanía, la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP, www.dataprotection.ro), o la autoridad del país en el que vives o trabajas (en España, la Agencia Española de Protección de Datos, AEPD).
8. Seguridad
El acceso al servicio se realiza sin contraseña, mediante enlaces firmados, de un solo uso y de corta duración. En la página Cuenta ves los últimos accesos a tu cuenta y puedes cerrar con un clic la sesión en todos los demás dispositivos. La base de datos está en un centro de datos de la Unión Europea, con acceso restringido y conexiones cifradas. Si encuentras un problema de seguridad en nuestros sistemas, consulta la página Notificación de vulnerabilidades.
La lista de productos que indicas en My Defence describe tu infraestructura y la tratamos como confidencial: la usamos solo para mostrarte y enviarte lo que te afecta, no la compartimos con nadie y no la usamos para ningún otro fin. Un nombre que nuestro catálogo no conoce lo buscamos por sí solo, sin ningún dato sobre ti o tu empresa: si existe, entra en el catálogo con su nombre oficial, igual para todos; si no, los demás suscriptores no lo ven.
En la base de datos, los fabricantes, productos y notas de My Defence están cifrados (AES-256-GCM) con una clave que la base de datos no contiene: quien accediera solo a la base de datos, a una de sus copias de seguridad o a una exportación vería solo texto cifrado. El servicio los descifra solo en memoria, para mostrártelos y para elegir el informe y las alertas. En el área de administración del servicio no aparecen tus productos ni tus notas, solo cuántos productos y zonas tiene una cuenta; los controles con inteligencia artificial que revisan el informe y las alertas solo pueden leer datos públicos de vulnerabilidades. Los detalles están en la página Cómo protegemos los datos de My Defence.
9. Menores
El servicio no está dirigido a menores de 18 años y no recogemos datos sobre ellos a sabiendas.
10. Cambios en esta política
Si cambiamos la forma en que tratamos los datos, actualizaremos esta página y la fecha que figura arriba; en caso de cambios importantes, avisaremos por correo electrónico a los usuarios afectados antes de que entren en vigor.