Política de privacidad

Última actualización: 2 de noviembre de 2026

1. Responsable del tratamiento

Josep Maria Bella, empresario individual, con domicilio en Sabadell. Contacto de privacidad: info@waystosecure.com.

2. Qué datos tratamos y para qué

Datos de cuenta y contacto (nombre o razón social, NIF si nos lo das, correo electrónico, idioma, la verificación en dos pasos): para crear y gestionar tu cuenta, prestarte el servicio contratado y emitir la facturación. Base jurídica: la ejecución del contrato y las obligaciones legales (fiscales y contables).

Los activos que pones bajo vigilancia (direcciones de correo, dominios) y lo que encontramos sobre ellos: para prestar exactamente el servicio contratado — comprobar si aparecen en filtraciones de datos o presentan riesgos, y avisarte. Base jurídica: la ejecución del contrato.

Datos de terceros que aparecen en la vigilancia. Las filtraciones que encontramos son a menudo de cuentas de personas de tu entorno (por ejemplo, empleados con una dirección de tu dominio), y los informes de correo y los dominios imitadores llevan direcciones IP o datos de registro de terceros. Los tratamos solo para avisarte y proteger tu dominio, con las contraseñas en claro cifradas con una clave que solo tienes tú. Base jurídica: el interés legítimo, tuyo y nuestro, en la seguridad (art. 6.1.f del RGPD).

El formulario de contacto (nombre, empresa, correo, teléfono, mensaje y la dirección IP desde la que escribes): para responderte. Base jurídica: tu consentimiento y las medidas precontractuales que pidas.

El formulario del Guard (nombre, empresa y NIF, correo, teléfono, el sector y el tamaño de la empresa, la infraestructura que nos explicas y cómo quieres que te contactemos): para preparar la entrevista y la propuesta. Base jurídica: las medidas precontractuales que pidas.

Si tienes el Guard, la autorización de las pruebas y los hallazgos sobre tu infraestructura: para prestarte el servicio. Los hallazgos pueden incluir datos de terceros (por ejemplo, direcciones o nombres de usuario de tus empleados), que tratamos solo para preparar el informe. Base jurídica: la ejecución del contrato; para los datos de terceros, el interés legítimo en la seguridad (art. 6.1.f del RGPD).

La aceptación de las condiciones (qué versión has aceptado, cuándo, desde qué dirección IP y el texto aceptado): para poder demostrar qué contrataste. Base jurídica: la ejecución del contrato y las obligaciones legales.

No utilizamos tus datos para publicidad de terceros ni los vendemos a nadie.

3. Destinatarios y transferencias

Para prestar el servicio trabajamos con estos proveedores, que tratan datos por cuenta nuestra con contrato conforme al art. 28 del RGPD o intervienen como responsables independientes:

• Hostinger International Ltd. (Chipre): el servidor (en Fráncfort, Alemania), sus instantáneas diarias (en Lituania), el DNS y el envío de los correos.
• Hetzner Online GmbH (Alemania): las copias de seguridad y los registros, cifrados con una clave que solo tenemos nosotros.
• Stripe Payments Europe, Limited (Irlanda): los pagos; nosotros nunca vemos tu tarjeta.
• LeakRadar (Unión Europea): la fuente de filtraciones; recibe los dominios y las direcciones que vigilamos y, cuando eliges una contraseña en el portal, los cinco primeros caracteres de una huella suya, que no permiten saber cuál es.
• Microsoft (Azure Key Vault, en España): guarda la clave que abre nuestro cofre de secretos; no recibe datos personales.
• CrowdSec SAS (Francia): el sistema colaborativo de detección de intrusiones (consulta «Registros de seguridad»).
• VirusTotal (Google, EE. UU.), rdap.org y las listas de bloqueo públicas: reciben nombres de dominio y direcciones IP de servidores, para consultar su reputación y su registro.
• Cuando encargas la retirada de un dominio falso, lo comunicamos (el dominio y el nombre de la marca suplantada) a los servicios de navegación segura y al registrador y al alojamiento de ese dominio.

Otros servicios que usamos (monitorización de disponibilidad, certificados) no reciben datos tuyos. Transferencias fuera de la Unión Europea: Stripe puede acceder a datos desde los Estados Unidos con sus garantías; los subencargados de correo de Hostinger (MailChannels y Proofpoint, en EE. UU.) pueden intervenir en el envío de los correos; y WhatsApp, si decides escribirnos por él (consulta «Canales de contacto»). No hay más cesiones, salvo obligación legal.

4. Canales de contacto

Puedes escribirnos por correo electrónico, por el formulario de contacto, desde el portal o, si lo prefieres, por WhatsApp, al número que encontrarás en el portal. WhatsApp es un servicio de Meta Platforms Ireland Ltd., que trata tu número de teléfono, tu nombre de perfil y los metadatos de los mensajes según sus propias condiciones y política de privacidad, y puede transferirlos fuera de la Unión Europea. Por eso el WhatsApp solo lo usamos a iniciativa tuya: nunca te escribiremos primero por este canal, nunca enviaremos por él alertas, informes ni ningún dato de tu cuenta, y nunca te pediremos contraseñas. Te pedimos que tampoco envíes por él contraseñas ni datos sensibles: para eso está el portal. Las conversaciones de WhatsApp se conservan en el terminal de la empresa durante un año y, si dan lugar a una gestión, lo necesario se traslada al portal. Base jurídica: tu consentimiento, que manifiestas al escribirnos, y la ejecución del contrato cuando la consulta es sobre el servicio.

5. Conservación y supresión

Conservamos los datos de tu cuenta y de la vigilancia mientras la cuenta exista, tengas o no una suscripción de pago activa. Puedes eliminar la cuenta cuando quieras desde el portal («Mi cuenta › Darse de baja») o escribiéndonos a info@waystosecure.com. Al hacerlo:

• En un plazo de 7 días borramos toda la información sobre tu exposición: alertas, registros de filtraciones, dominios y correos vigilados, el estado de los controles, los dosieres, los mensajes, las capturas de webs imitadoras, los informes del Guard y el contenido de los encargos (la ficha del encargo se conserva como facturación). Durante estos 7 días puedes pedirnos que detengamos la baja si cambias de opinión o si no la has pedido tú.
• Durante 6 años conservamos los datos contractuales y de facturación (tu identificación, el contrato y las condiciones que aceptaste, la autorización de las pruebas del Guard, las facturas y los pagos), porque lo exigen el Código de Comercio (art. 30), la Ley General Tributaria y el Código Civil en cuanto a la prescripción de las acciones; pasado ese plazo, se eliminan.
• De los dosieres que hayas emitido, guardamos solo el registro que permite verificarlos (la fecha, la empresa y el NIF que constaban, el resumen de lo que decían y la huella del archivo) hasta que cumplan dos años desde su emisión; el PDF se borra con el resto.
• Las copias de seguridad, cifradas, se renuevan por rotación: los datos borrados pueden permanecer en ellas hasta 44 días (30 días de retención más los 14 de la última instantánea semanal; la instantánea diaria del proveedor del servidor dura 10 días), y nunca se restauran para recuperar datos de una cuenta eliminada.
• Los registros de seguridad en los que conste alguna acción tuya se conservan según el apartado «Registros de seguridad» y no se borran con la baja.

Si das de baja un dominio adicional sin cerrar la cuenta, lo que habíamos encontrado sobre ese dominio se guarda un año por si lo vuelves a contratar, y se borra pasado el año. Lo mismo ocurre con una dirección que dejas de vigilar. Los datos del formulario de contacto y del formulario del Guard se conservan un año. De cada informe del Guard guardamos una copia cifrada mientras dura el Guard y un año más, para poder entregártelo de nuevo; después se borra. Las direcciones de correo que has añadido a la vigilancia dejan de tratarse cuando las eliminas o cuando se cierra la cuenta.

6. Registros de seguridad

Para proteger la plataforma, detectar e investigar incidentes y poder demostrar qué ha pasado, conservamos registros técnicos: los accesos a la web y al portal (dirección IP, página solicitada, fecha y hora, navegador, resultado; sin cookies ni credenciales), los intentos de inicio de sesión (dirección IP y una huella del correo), las acciones hechas en el portal (quién, qué, cuándo: por ejemplo, cada vez que se consulta una contraseña filtrada), los registros del servidor y las decisiones de nuestro sistema de detección de intrusiones. Base jurídica: nuestro interés legítimo en la seguridad de la red y de la información (art. 6.1.f del RGPD; considerando 49), que también es el tuyo, y las obligaciones legales que nos puedan corresponder.

Estos registros se conservan 10 años en un sistema de almacenamiento separado de nuestro servidor, situado en la Unión Europea (Alemania) y configurado de manera que nadie, ni nosotros, puede modificarlos ni borrarlos antes de que venza el plazo, cifrados con una clave que solo tiene el titular. De los accesos a la web también guardamos una versión con la dirección IP anonimizada, que ya no permite identificarte. Estos registros no se borran cuando eliminas la cuenta o ejerces el derecho de supresión, porque sirven para proteger la plataforma y al resto de usuarios y para cumplir obligaciones legales (art. 17.3 del RGPD).

Las direcciones IP desde las que se detectan ataques (intentos masivos de acceso, escaneos) se comparten con CrowdSec (CrowdSec SAS, Francia), un sistema colaborativo de detección de intrusiones, y recibimos de él la lista de direcciones atacantes detectadas por otros. Una dirección desde la que se haga un uso normal del servicio nunca se comparte.

Si tienes un dominio bajo vigilancia y nos haces llegar los informes DMARC y TLS, estos informes contienen las direcciones IP de los servidores que envían correo en nombre de tu dominio; los tratamos por cuenta tuya, solo para evaluar la configuración de tu correo. El archivo recibido se borra a los 30 días y los datos que extraemos de él, a los 13 meses.

7. Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, y retirar el consentimiento que hayas dado, escribiendo a info@waystosecure.com. La supresión de la cuenta puedes hacerla tú mismo desde el portal («Mi cuenta › Darse de baja»). Si consideras que no te hemos atendido bien, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

8. Seguridad

Aplicamos a nuestra propia plataforma las mismas medidas que recomendamos a los clientes: cifrado en tránsito, control de accesos con verificación en dos pasos para el equipo, copias de seguridad cifradas fuera del servidor, registros que nadie puede modificar ni borrar, y las contraseñas filtradas en claro cifradas con una clave que solo tienes tú. Es nuestro principio de casa: no vendemos nada que no nos apliquemos.

9. Menores

Los servicios se dirigen a profesionales y empresas; no están pensados para menores de edad.