WaystoSecure WAYSTOSECURE

Política de privacitat

Última actualització: 2 de novembre de 2026

1. Responsable del tractament

Josep Maria Bella, empresari individual, amb domicili a Sabadell. Contacte de privacitat: info@waystosecure.com.

2. Quines dades tractem i per a què

Dades de compte i contacte (nom o raó social, NIF si ens el dones, correu electrònic, idioma, la verificació en dos passos): per crear i gestionar el teu compte, prestar-te el servei contractat i emetre la facturació. Base jurídica: l'execució del contracte i les obligacions legals (fiscals i comptables).

Els actius que poses sota vigilància (adreces de correu, dominis) i el que en trobem: per prestar exactament el servei contractat — comprovar si apareixen en filtracions de dades o presenten riscos, i avisar-te. Base jurídica: l'execució del contracte.

Dades de tercers que apareixen a la vigilància. Les filtracions que trobem sovint són de comptes de persones del teu entorn (per exemple, empleats amb una adreça del teu domini), i els informes de correu i els dominis imitadors porten adreces IP o dades de registre de tercers. Les tractem només per avisar-te i protegir el teu domini, amb les contrasenyes en clar xifrades amb una clau que només tens tu. Base jurídica: l'interès legítim, teu i nostre, en la seguretat (art. 6.1.f del RGPD).

El formulari de contacte (nom, empresa, correu, telèfon, missatge i l'adreça IP des de la qual escrius): per respondre't. Base jurídica: el teu consentiment i les mesures precontractuals que demanis.

El formulari del Guard (nom, empresa i NIF, correu, telèfon, el sector i la mida de l'empresa, la infraestructura que ens expliques i com vols que et contactem): per preparar l'entrevista i la proposta. Base jurídica: les mesures precontractuals que demanis.

Si tens el Guard, l'autorització de les proves i les troballes sobre la teva infraestructura: per prestar-te el servei. Les troballes poden incloure dades de tercers (per exemple, adreces o noms d'usuari dels teus empleats), que tractem només per preparar l'informe. Base jurídica: l'execució del contracte; per a les dades de tercers, l'interès legítim en la seguretat (art. 6.1.f del RGPD).

L'acceptació de les condicions (quina versió has acceptat, quan, des de quina adreça IP i el text acceptat): per poder demostrar què vas contractar. Base jurídica: l'execució del contracte i les obligacions legals.

No fem servir les teves dades per a publicitat de tercers ni les venem a ningú.

3. Destinataris i transferències

Per prestar el servei treballem amb aquests proveïdors, que tracten dades per compte nostre amb contracte conforme a l'art. 28 del RGPD o hi intervenen com a responsables independents:

  • Hostinger International Ltd. (Xipre): el servidor (a Frankfurt, Alemanya), les seves instantànies diàries (a Lituània), el DNS i l'enviament dels correus.
  • Hetzner Online GmbH (Alemanya): les còpies de seguretat i els registres, xifrats amb una clau que només tenim nosaltres.
  • Stripe Payments Europe, Limited (Irlanda): els pagaments; nosaltres no veiem mai la teva targeta.
  • LeakRadar (Unió Europea): la font de filtracions; rep els dominis i les adreces que vigilem i, quan tries una contrasenya al portal, els cinc primers caràcters d'una empremta seva, que no permeten saber quina és.
  • Microsoft (Azure Key Vault, a Espanya): guarda la clau que obre el nostre cofre de secrets; no rep dades personals.
  • CrowdSec SAS (França): el sistema col·laboratiu de detecció d'intrusions (vegeu «Registres de seguretat»).
  • VirusTotal (Google, EUA), rdap.org i les llistes de bloqueig públiques: reben noms de domini i adreces IP de servidors, per consultar-ne la reputació i el registre.
  • Quan encarregues la retirada d'un domini fals, el comuniquem (el domini i el nom de la marca suplantada) als serveis de navegació segura i al registrador i a l'allotjament d'aquell domini.

Altres serveis que fem servir (monitoratge de disponibilitat, certificats) no reben cap dada teva. Transferències fora de la Unió Europea: Stripe pot accedir a dades des dels Estats Units amb les seves garanties; els subencarregats de correu de Hostinger (MailChannels i Proofpoint, als EUA) poden intervenir en l'enviament dels correus; i WhatsApp, si decideixes escriure-hi (vegeu «Canals de contacte»). No hi ha més cessions, llevat d'obligació legal.

4. Canals de contacte

Pots escriure'ns per correu electrònic, pel formulari de contacte, des del portal o, si ho prefereixes, per WhatsApp, al número que trobaràs al portal. WhatsApp és un servei de Meta Platforms Ireland Ltd., que tracta el teu número de telèfon, el teu nom de perfil i les metadades dels missatges segons les seves pròpies condicions i política de privadesa, i pot transferir-les fora de la Unió Europea. Per això el WhatsApp només el fem servir a iniciativa teva: nosaltres no t'escriurem mai primer per aquest canal, no hi enviarem mai alertes, informes ni cap dada del teu compte, i no hi demanarem mai contrasenyes. Et demanem que tampoc hi enviïs contrasenyes ni dades sensibles: per a això hi ha el portal. Les converses de WhatsApp es conserven al terminal de l'empresa durant un any i, si donen lloc a una gestió, el que calgui es trasllada al portal. Base jurídica: el teu consentiment, que manifestes en escriure'ns, i l'execució del contracte quan la consulta és sobre el servei.

5. Conservació i supressió

Conservem les dades del teu compte i de la vigilància mentre el compte existeixi, tinguis o no una subscripció de pagament activa. Pots eliminar el compte quan vulguis des del portal («El meu compte › Donar-se de baixa») o escrivint-nos a info@waystosecure.com. En fer-ho:

  • En un termini de 7 dies esborrem tota la informació sobre la teva exposició: alertes, registres de filtracions, dominis i correus vigilats, l'estat dels controls, els dossiers, els missatges, les captures de webs imitadores, els informes del Guard i el contingut dels encàrrecs (la fitxa de l'encàrrec es conserva com a facturació). Durant aquests 7 dies pots fer-nos aturar la baixa si canvies d'opinió o si no l'has demanat tu.
  • Durant 6 anys conservem les dades contractuals i de facturació (la teva identificació, el contracte i les condicions que vas acceptar, l'autorització de les proves del Guard, les factures i els pagaments), perquè ho exigeixen el Codi de Comerç (art. 30), la Llei General Tributària i el Codi Civil pel que fa a la prescripció de les accions; passat aquest termini, s'eliminen.
  • Dels dossiers que hagis emès, en guardem només el registre que permet verificar-los (la data, l'empresa i el NIF que hi constaven, el resum del que hi deia i l'empremta del fitxer) fins que facin dos anys des de l'emissió; el PDF s'esborra amb la resta.
  • Les còpies de seguretat, xifrades, es renoven per rotació: les dades esborrades hi poden romandre fins a 44 dies (30 dies de retenció més els 14 de l'última instantània setmanal; la instantània diària del proveïdor del servidor dura 10 dies), i no es restauren mai per recuperar dades d'un compte eliminat.
  • Els registres de seguretat en què consti alguna acció teva es conserven segons l'apartat «Registres de seguretat» i no s'esborren amb la baixa.

Si dones de baixa un domini addicional sense tancar el compte, el que havíem trobat sobre aquell domini es guarda un any per si el tornes a contractar, i s'esborra passat l'any. El mateix passa amb una adreça que deixes de vigilar. Les dades del formulari de contacte i del formulari del Guard es conserven un any. De cada informe del Guard en guardem una còpia xifrada mentre dura el Guard i un any més, per poder-te'l tornar a lliurar; després s'esborra. Les adreces de correu que has afegit a la vigilància deixen de tractar-se quan les elimines o quan es tanca el compte.

6. Registres de seguretat

Per protegir la plataforma, detectar i investigar incidents i poder demostrar què ha passat, conservem registres tècnics: els accessos al web i al portal (adreça IP, pàgina sol·licitada, data i hora, navegador, resultat; sense galetes ni credencials), els intents d'inici de sessió (adreça IP i una empremta del correu), les accions fetes al portal (qui, què, quan: per exemple, cada vegada que es consulta una contrasenya filtrada), els registres del servidor i les decisions del nostre sistema de detecció d'intrusions. Base jurídica: el nostre interès legítim en la seguretat de la xarxa i de la informació (art. 6.1.f del RGPD; considerant 49), que és també el teu, i les obligacions legals que ens puguin correspondre.

Aquests registres es conserven 10 anys en un sistema d'emmagatzematge separat del nostre servidor, situat a la Unió Europea (Alemanya) i configurat de manera que ningú, ni nosaltres, pot modificar-los ni esborrar-los abans que venci el termini, xifrats amb una clau que només té el titular. Dels accessos al web també en desem una versió amb l'adreça IP anonimitzada, que ja no permet identificar-te. Aquests registres no s'esborren quan elimines el compte o exerceixes el dret de supressió, perquè serveixen per protegir la plataforma i la resta d'usuaris i per complir obligacions legals (art. 17.3 del RGPD).

Les adreces IP des de les quals es detecten atacs (intents massius d'accés, escanejos) es comparteixen amb CrowdSec (CrowdSec SAS, França), un sistema col·laboratiu de detecció d'intrusions, i rebem d'ell la llista d'adreces atacants detectades per altres. Una adreça des de la qual es faci un ús normal del servei no s'hi comparteix mai.

Si tens un domini sota vigilància i ens hi fas arribar els informes DMARC i TLS, aquests informes contenen les adreces IP dels servidors que envien correu en nom del teu domini; els tractem per compte teu, només per avaluar la configuració del teu correu. El fitxer rebut s'esborra als 30 dies i les dades que n'extraiem, als 13 mesos.

7. Els teus drets

Pots exercir els drets d'accés, rectificació, supressió, oposició, limitació i portabilitat, i retirar el consentiment que hagis donat, escrivint a info@waystosecure.com. La supressió del compte la pots fer tu mateix des del portal («El meu compte › Donar-se de baixa»). Si consideres que no t'hem atès bé, pots reclamar davant l'Agència Espanyola de Protecció de Dades (aepd.es).

8. Seguretat

Apliquem a la nostra pròpia plataforma les mateixes mesures que recomanem als clients: xifratge en trànsit, control d'accessos amb verificació en dos passos per a l'equip, còpies de seguretat xifrades fora del servidor, registres que ningú no pot modificar ni esborrar, i les contrasenyes filtrades en clar xifrades amb una clau que només tens tu. És el nostre principi de casa: no venem res que no ens apliquem.

9. Menors

Els serveis s'adrecen a professionals i empreses; no estan pensats per a menors d'edat.