Política de Privacidad

1. Responsable del tratamiento

De conformidad con el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se informa al usuario que el responsable del tratamiento de los datos personales recabados a través de la Plataforma es:

No se ha designado un Delegado de Protección de Datos (DPO) por no resultar obligatorio según el artículo 37 RGPD. Para cualquier cuestión relativa a la protección de datos, puede contactar directamente con el responsable a través del email indicado.

2. Datos personales que tratamos

En función de los servicios contratados y de las funcionalidades utilizadas, podemos tratar las siguientes categorías de datos:

• Datos identificativos: nombre, apellidos, dirección de correo electrónico, número de teléfono.
• Datos profesionales: empresa, cargo o puesto y sector de actividad, en caso de que el Usuario los facilite voluntariamente o sean necesarios para la facturación a empresas.
• Datos de cuenta: alias de usuario, contraseña cifrada, idioma, zona horaria, preferencias.
• Datos de facturación: nombre fiscal, NIF/CIF, dirección de facturación. Los datos bancarios o de tarjeta son tratados directamente por Stripe; nosotros no los almacenamos.
• Datos de uso y navegación: dirección IP, fecha y hora de acceso, navegador, sistema operativo, registros de actividad en la Plataforma.
• Credenciales de cuentas de terceros: usuario, contraseña, secretos 2FA y teléfono asociado a las redes sociales o servicios web del usuario, almacenados en bóveda externa cifrada (1Password Business).
• Datos de redes sociales: información pública de las cuentas que el usuario nos autoriza a auditar (nombre de usuario, número de seguidores, descripción, etc.).
• Datos de soporte y comunicaciones: mensajes intercambiados con el equipo de soporte.
• Datos de seguridad y auditoría: registros de accesos, cambios de configuración, alertas generadas.
• Cookies y tecnologías similares: cookies técnicas estrictamente necesarias para el funcionamiento de la Plataforma. El detalle se encuentra en la Política de Cookies.

3. Finalidades del tratamiento

• Prestar los servicios de ciberseguridad, monitorización, auditoría y recuperación contratados.
• Gestionar el alta, autenticación y mantenimiento de la cuenta de usuario.
• Tramitar y gestionar pagos, facturación y obligaciones fiscales.
• Atender consultas, incidencias y solicitudes de soporte.
• Realizar análisis estadísticos y mejoras del servicio.
• Enviar comunicaciones operativas (alertas, notificaciones, avisos legales).
• Enviar comunicaciones comerciales (solo con consentimiento expreso del usuario).
• Cumplir con obligaciones legales y atender requerimientos de autoridades competentes.
• Prevenir fraudes y garantizar la seguridad de la Plataforma.

4. Base legal de cada tratamiento

• Ejecución del contrato (Art. 6.1.b RGPD): para la prestación del servicio contratado, gestión de la cuenta y facturación.
• Cumplimiento de obligaciones legales (Art. 6.1.c RGPD): para conservación de facturas, atención a requerimientos legales.
• Consentimiento (Art. 6.1.a RGPD): para el envío de comunicaciones comerciales, uso de cookies no esenciales y custodia de credenciales en bóveda externa.
• Interés legítimo (Art. 6.1.f RGPD): para garantizar la seguridad del servicio, prevenir fraudes y mejorar la Plataforma.

5. Plazos de conservación

• Datos de cuenta y servicio: mientras la cuenta esté activa y hasta 5 días después de la solicitud de baja.
• Credenciales en bóveda externa: hasta la cancelación del servicio, momento en el que se eliminan automáticamente.
• Datos de facturación: 6 años desde la última factura, conforme al artículo 30 del Código de Comercio.
• Registros de seguridad y auditoría: 12 meses, salvo que sean necesarios para investigaciones en curso.
• Backups del sistema: se mantienen 2 copias rotatorias cifradas. Cada nueva copia sustituye a la más antigua, garantizando que los datos eliminados desaparecen también de las copias en un plazo máximo equivalente al ciclo de rotación.
• Datos para defensa de reclamaciones: durante el plazo de prescripción de las acciones legales (hasta 5 años).

6. Destinatarios y sub-encargados de tratamiento

Para la prestación del servicio utilizamos proveedores externos (sub-encargados) que tratan datos personales por cuenta del responsable. Todos ellos han firmado los correspondientes acuerdos de tratamiento de datos (DPA) y garantizan el cumplimiento del RGPD. La lista actualizada de sub-encargados es la siguiente:

7. Transferencias internacionales

Algunos de nuestros sub-encargados están ubicados fuera del Espacio Económico Europeo (EEE), principalmente en Estados Unidos. En estos casos, garantizamos un nivel de protección equivalente al exigido por el RGPD mediante:

• EU-US Data Privacy Framework (DPF): para proveedores adheridos como Stripe, Auth0, Cloudflare, Google y otros.
• Cláusulas Contractuales Tipo (SCC): aprobadas por la Comisión Europea, para proveedores como 1Password y Resend.

Puede consultar más información en la web de la Comisión Europea.

8. Custodia segura de credenciales

Las credenciales de acceso a redes sociales y servicios web que el usuario nos proporciona para la prestación del servicio se almacenan exclusivamente en una bóveda externa cifrada de extremo a extremo gestionada por 1Password Business. Jesús Oran Sans no almacena copias en sus propios servidores tras el procesamiento del pago.

El acceso del equipo autorizado de IPGuard a estas credenciales se realiza siempre con doble factor de autenticación (OTP por correo electrónico) y queda registrado en un log de seguridad inmutable. El usuario puede consultar este historial en cualquier momento desde su panel.

9. Decisiones automatizadas

La Plataforma realiza análisis automatizados de seguridad sobre las cuentas conectadas para detectar configuraciones débiles, accesos sospechosos o cambios no autorizados. Estos análisis no producen decisiones con efectos jurídicos significativos para el usuario, sino recomendaciones que el usuario puede aplicar libremente.

10. Derechos del usuario

El usuario puede ejercer en cualquier momento los siguientes derechos:

• Acceso: conocer qué datos tratamos sobre su persona.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión (derecho al olvido): solicitar la eliminación de sus datos.
• Limitación del tratamiento: solicitar que se restrinja el uso de sus datos.
• Oposición: oponerse al tratamiento basado en interés legítimo.
• Portabilidad: recibir sus datos en formato estructurado y reutilizable.
• Revocación del consentimiento: en cualquier momento, sin efecto retroactivo.
• No ser objeto de decisiones automatizadas con efectos jurídicos significativos.

Para ejercer estos derechos, el usuario puede:

• Enviar un email a [email protected] adjuntando copia de su DNI o documento identificativo.
• Usar las funciones disponibles en su panel de usuario (Configuración → Privacidad), incluyendo la exportación y eliminación de cuenta.

11. Reclamación ante autoridad de control

Si el usuario considera que el tratamiento de sus datos no cumple con la normativa, puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD):

12. Menores de edad

La Plataforma no está dirigida a menores de 14 años. Si tiene conocimiento de que un menor de 14 años ha facilitado datos personales sin el consentimiento de sus padres o tutores legales, le rogamos nos lo comunique para proceder a la inmediata eliminación de dichos datos.

13. Medidas de seguridad

Jesús Oran Sans aplica las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, incluyendo: cifrado de extremo a extremo (TLS 1.2+) en tránsito, cifrado AES-256-GCM en reposo, autenticación robusta con doble factor, control de accesos basado en roles, registros de auditoría inmutables, backups cifrados con rotación automática y revisiones periódicas de seguridad.

Notificación de brechas: en caso de violación de la seguridad de los datos personales que entrañe un riesgo para los derechos y libertades, Jesús Oran Sans lo notificará a la autoridad de control (AEPD) sin dilación indebida y, cuando sea posible, en un plazo máximo de 72 horas (art. 33 RGPD), e informará a los usuarios afectados cuando el riesgo sea alto (art. 34 RGPD).

14. Cumplimiento de plataformas integradas (YouTube, Meta y otras)

IPGuard se conecta a APIs de plataformas de terceros para prestar el servicio contratado. El tratamiento de datos a través de estas APIs se rige adicionalmente por las políticas de cada plataforma.

YouTube API Services. IPGuard utiliza los YouTube API Services para conectar y leer datos de las cuentas de YouTube que el Usuario autoriza expresamente. Al usar esta funcionalidad, el Usuario:

• Acepta los Términos de Servicio de YouTube.
• Reconoce que su uso de los datos obtenidos a través de los YouTube API Services está sujeto a la Política de Privacidad de Google.
• Puede revocar en cualquier momento el acceso de IPGuard a sus datos de YouTube desde la página de permisos de seguridad de Google.

IPGuard accede únicamente a la información mínima necesaria para prestar el servicio contratado (datos públicos del canal, número de suscriptores, métricas básicas). IPGuard no transfiere los datos obtenidos a través de YouTube API Services a terceros distintos de los sub-encargados listados en el apartado 6 de esta política ni los utiliza para entrenar modelos de inteligencia artificial.

Meta Platforms (Instagram Graph API, Facebook, WhatsApp Business). IPGuard utiliza las APIs oficiales de Meta para conectar las cuentas de Instagram, Facebook y WhatsApp Business que el Usuario autoriza expresamente. El tratamiento de datos por parte de Meta se rige por la Política de Privacidad de Meta y por las Meta Platform Terms. El Usuario puede revisar y revocar las conexiones desde su panel de aplicaciones autorizadas en Instagram o Facebook.

Otras plataformas integradas. Para TikTok, X/Twitter, LinkedIn, Twitch y otras plataformas, el tratamiento de datos a través de sus respectivas APIs se rige por las políticas y términos de cada proveedor. La lista completa se encuentra en el apartado 6 de esta política.

15. Derechos de residentes en EE. UU. (CCPA/CPRA y otras leyes estatales)

Si resides en California u otro estado de EE. UU. con una ley de privacidad aplicable (CCPA/CPRA y equivalentes), dispones de derechos adicionales: a saber qué datos personales recopilamos y con qué fin, a acceder y obtener una copia, a corregirlos, a solicitar su eliminación y a no sufrir discriminación por ejercerlos.

No vendemos ni «compartimos» tus datos personales (en el sentido de la CCPA/CPRA) para publicidad de comportamiento entre contextos, ni los cedemos a cambio de contraprestación. Por ello no es necesario un mecanismo de «Do Not Sell or Share My Personal Information»; si esto cambiara, lo publicaríamos aquí con el enlace para ejercer la opción.

Para ejercer estos derechos escribe a [email protected]. Puedes usar un agente autorizado; verificaremos tu identidad antes de responder, en los plazos que marque la ley.

16. VPN y protección del dispositivo (aplicaciones IPGuard)

Las aplicaciones de IPGuard (incluida la aplicación móvil) pueden incluir una función de VPN y de protección del dispositivo (antivirus y seguridad). Cuando activas la VPN, el tráfico de red de tu dispositivo se enruta de forma cifrada (protocolo WireGuard) hacia la puerta de enlace de tu organización y sale a Internet a través de la línea de tu propia empresa. Los servidores de IPGuard Security que intervienen actúan únicamente como transporte cifrado: reenvían los paquetes sin inspeccionar, almacenar ni vender el contenido de tu navegación.

No registramos tu historial de navegación ni vendemos datos de tráfico. Para garantizar el funcionamiento, la seguridad y el diagnóstico del servicio podemos tratar metadatos mínimos de conexión (marca de tiempo, identificador del dispositivo, estado de la conexión y volumen de datos transferido), conservados únicamente durante el tiempo imprescindible.

La función de protección puede procesar información sobre el estado de seguridad del dispositivo (por ejemplo, el resultado de los análisis o la postura de seguridad) con la única finalidad de protegerlo y avisarte de incidencias; esta información se transmite siempre por canales cifrados (HTTPS).

Tú controlas la activación y desactivación de la VPN y de la protección en cualquier momento desde la propia aplicación. En iOS la VPN se apoya en la extensión de red del sistema (Network Extension) y requiere tu autorización expresa. La VPN no se utiliza para mostrar publicidad ni para perfilado comercial.

17. Modificaciones

Jesús Oran Sans se reserva el derecho a modificar la presente Política de Privacidad para adaptarla a novedades legislativas o jurisprudenciales, así como a prácticas habituales del sector. En tales supuestos, se anunciarán los cambios con al menos 15 días de antelación a través de la Plataforma o por correo electrónico.