Aviso de privacidad de la consola

Responsable y contacto

Los tratamientos que este aviso describe como propios los decide HODEITEK S.L., NIF B56478027, Markole, 20550 Aretxabaleta (Gipuzkoa), España.

Para cualquier cuestión sobre privacidad o para ejercer tus derechos, escribe a privacy@hodeitek.com.

Dos papeles distintos

Encargado del tratamiento: lo que carga tu organización

La información que tu organización introduce o genera en la plataforma (proveedores y sus personas de contacto, evidencias y documentos, cuestionarios y respuestas, incidentes, riesgos, el inventario de equipos que envía el agente de endpoint, las conversaciones con HodeiAI o los suscriptores de su Trust Center) la tratamos por cuenta de tu organización, que es la responsable. Sólo la usamos para prestar el servicio, siguiendo sus instrucciones documentadas y el contrato de encargo del tratamiento (art. 28 RGPD).

Si tus datos figuran en esa información (por ejemplo, eres contacto de un proveedor o trabajas para un cliente), dirige tus solicitudes a la organización que los cargó. Si nos llegan a nosotros, se las haremos llegar sin demora.

Responsable del tratamiento: cuentas, acceso, seguridad y facturación

Decidimos nosotros cómo se tratan los datos de las cuentas de usuario de la consola, la autenticación, los registros de acceso y de seguridad y, cuando se contrata desde la consola, la facturación. El resto de este aviso describe sobre todo estos tratamientos.

Qué datos tratamos como responsable

Cuenta

Nombre, correo electrónico, organización e inquilino a los que perteneces, rol, idioma y preferencias de notificación.

Autenticación

Tu contraseña, guardada sólo como resumen criptográfico (Argon2id) y nunca en claro; los segundos factores y llaves de acceso (passkeys) que registres; y, si tu organización usa inicio de sesión único, los datos que envía su proveedor de identidad.

Acceso y seguridad

Las sesiones abiertas, con su dirección IP y su navegador; las direcciones IP y los navegadores desde los que sueles entrar y los intentos fallidos, para detectar accesos inusuales; y el registro de auditoría de las acciones hechas en la consola, con fecha, IP y navegador.

Facturación

Sólo si se contrata desde la consola: nombre o razón social, NIF, dirección y correo de facturación. Los datos de la tarjeta los introduces directamente en Stripe; Hodeitek no los recibe ni los guarda.

Preferencias de cookies

Tu elección en el aviso de cookies, guardada en tu navegador y, si has iniciado sesión, en tu cuenta.

Diagnóstico de errores

Cuando algo falla, un informe técnico del error sin tu nombre, tu correo, tus cookies ni las cabeceras de la petición. Si el fallo ocurre en el navegador, el informe incluye una reproducción de la pantalla con todo el texto y todos los campos enmascarados.

La mayoría de estos datos nos los facilitas tú al usar la consola. Si tu cuenta la creó una invitación, tu correo electrónico, la organización y el inquilino a los que perteneces, tu rol y, en su caso, tu nombre nos los facilitó la persona de tu organización que te invitó. Si entras con inicio de sesión único, el proveedor de identidad de tu organización nos envía tu identificador, tu nombre y tu correo y, si tu organización lo ha configurado, los grupos a los que perteneces para asignarte un rol. Los datos de acceso y seguridad los genera la propia plataforma cuando la usas.

Facilitar los datos de cuenta y de autenticación es un requisito para usar la consola: sin ellos no se puede crear la cuenta ni acceder. Los de facturación son necesarios para contratar desde la consola y emitir la factura que exige la normativa fiscal. Fuera de esos casos, ninguna norma te obliga a facilitarlos.

Para qué y con qué base jurídica

• Prestar el servicio

  Crear y gestionar tu cuenta, darte acceso a lo que tu rol permite y enviarte los avisos del servicio (invitaciones, alertas, recordatorios).

  Base jurídica: Si contratas el servicio en tu propio nombre (por ejemplo, como profesional autónomo), la ejecución de ese contrato, del que eres parte (art. 6.1.b RGPD). Si es tu organización quien te da de alta, como empleado o colaborador, el interés legítimo de tu organización y nuestro en que puedas usar el servicio que ella ha contratado y en comunicarnos contigo sobre él (art. 6.1.f RGPD): tratamos sólo los datos profesionales necesarios para darte acceso a una herramienta de trabajo que tu organización te proporciona.

• Proteger la plataforma y tu cuenta

  Mantener las sesiones, detectar accesos inusuales, frenar abusos y conservar un registro de auditoría que permita reconstruir quién hizo qué.

  Base jurídica: Interés legítimo en la seguridad de la red y de la información (art. 6.1.f RGPD) y deber de aplicar medidas de seguridad adecuadas (art. 32 RGPD).

• Corregir fallos

  Detectar y diagnosticar errores técnicos para mantener el servicio funcionando.

  Base jurídica: Interés legítimo en la continuidad y la calidad del servicio (art. 6.1.f RGPD).

• Cobrar y facturar

  Gestionar la suscripción, el cobro y las facturas cuando se contrata desde la consola.

  Base jurídica: Ejecución del contrato (art. 6.1.b RGPD) y obligaciones legales contables y fiscales (art. 6.1.c RGPD).

• Recordar tu elección de cookies

  Recordar qué aceptaste o rechazaste y poder acreditarlo.

  Base jurídica: Interés legítimo en respetar y recordar tu elección (art. 6.1.f RGPD). Hoy la consola sólo usa cookies técnicas, que no necesitan tu consentimiento; si en el futuro usara cookies que lo requieran, guardar tu elección serviría además para poder demostrar ese consentimiento (art. 7.1 RGPD).

• Atender tus derechos

  Responder a las solicitudes de ejercicio de derechos y dejar constancia de ellas.

  Base jurídica: Obligación legal (art. 6.1.c RGPD, en relación con los arts. 12 a 22).

Cuando la base es el interés legítimo, puedes oponerte por motivos relacionados con tu situación particular escribiendo a privacy@hodeitek.com (art. 21 RGPD).

No tomamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre ti ni usamos tus datos con fines publicitarios. La valoración de riesgo de cada inicio de sesión sólo sirve para proteger tu cuenta.

Dónde se guardan

Los servidores de aplicación, la caché de sesiones (que funciona en nuestro propio clúster) y el almacenamiento de documentos están alojados en OVHcloud, en su región de Gravelines (Francia, UE). La base de datos es un servicio gestionado de OVHcloud (operado por Aiven) cuya región está en verificación. Los registros técnicos del servicio pueden enviarse al servicio de registros de OVHcloud en la misma región.

El motor de automatización de la plataforma (n8n) funciona en nuestra propia infraestructura de OVHcloud; no es un proveedor externo.

Proveedores que intervienen

Estos proveedores tratan datos por cuenta de Hodeitek, como encargados o subencargados del tratamiento, y sólo para el servicio indicado.

• OVHcloud

  Para qué

  Alojamiento de la plataforma, base de datos, almacenamiento de documentos y registros técnicos. La base de datos PostgreSQL gestionada la opera Aiven como subencargado de OVHcloud; su región y el acceso de Aiven al contenido almacenado están en verificación.

  Qué datos reciben

  Todos los datos de la plataforma.

• Cloudflare

  Para qué

  DNS, red de distribución, cortafuegos y cifrado TLS de todo el tráfico; verificación antibots en el Trust Center público; dominios propios de los Trust Center de los clientes.

  Qué datos reciben

  Las peticiones en tránsito, con la dirección IP y los datos técnicos del navegador.

• Mistral AI

  Para qué

  Modelo de lenguaje de HodeiAI (asistente, CISO virtual, redacción de políticas y otras funciones de IA). Cada organización puede desactivarlo.

  Qué datos reciben

  El texto de las preguntas y el contexto necesario para responderlas. Para el asistente, el CISO virtual y la redacción de políticas, antes de salir los correos electrónicos, teléfonos, DNI y NIE, IBAN y nombres de los usuarios y contactos de proveedores de tu organización se sustituyen por seudónimos, y los identificadores de inquilino y de usuario se eliminan o se sustituyen. El análisis de un escaneo de dominio de proveedores no se seudonimiza: envía el dominio y los hallazgos, con los correos, teléfonos, IBAN y números de identidad ocultados. La región de tratamiento y la retención en Mistral AI están en verificación.

• Resend

  Para qué

  Envío de los correos de la plataforma: invitaciones, alertas, avisos y notificaciones. La región de envío y la infraestructura de Resend están en verificación.

  Qué datos reciben

  La dirección de correo y el nombre del destinatario y el contenido del aviso.

• Sentry

  Para qué

  Diagnóstico de errores técnicos.

  Qué datos reciben

  Informes de error y registros técnicos de funcionamiento. La consola está configurada para no adjuntar información de usuario, cookies, cabeceras ni cuerpos de petición, y se ocultan los correos electrónicos, direcciones IP y tokens que aparezcan en texto; esto reduce lo que se envía pero no garantiza que un informe no pueda contener datos personales. Los registros llevan el identificador del inquilino afectado y el país de la conexión. Sentry recibe además la dirección IP de la conexión que los envía.

• Stripe

  Para qué

  Cobro con tarjeta y gestión de la suscripción, sólo cuando se contrata desde la consola.

  Qué datos reciben

  El correo de facturación, el plan contratado y los datos de pago que introduces en su página.

• Holded

  Para qué

  Emisión de facturas, sólo cuando se contrata desde la consola.

  Qué datos reciben

  Nombre o razón social, NIF, dirección y correo de facturación, y los conceptos facturados.

Para analizar la exposición de los proveedores de tu organización, la plataforma consulta fuentes públicas de seguridad (Shodan, Have I Been Pwned, NVD, OSV y FIRST) y un servicio de logotipos (Logo.dev). Sólo les envía dominios de empresa, direcciones de servidores o identificadores de componentes de software, nunca datos de usuarios.

Las integraciones que configura tu organización (por ejemplo Slack, Jira, ServiceNow, PagerDuty, Opsgenie, sus propios webhooks o su proveedor de identidad) envían datos a destinos que ella elige. Esos servicios son proveedores de tu organización, no subencargados de Hodeitek.

Informaremos a las organizaciones clientes de cualquier cambio en esta lista con antelación, según el contrato de encargo, para que puedan oponerse.

Transferencias fuera de la UE

Cloudflare, Inc., con sede en Estados Unidos, interviene en el tránsito de todas las peticiones. La transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. y, si dejara de aplicarse, en las cláusulas contractuales tipo de la Comisión Europea.

Los informes de error se envían a la región de datos de Sentry en la UE.

La consola no fija la región en la que tratan los datos Mistral AI, Resend, Aiven (subencargado de OVHcloud), Stripe ni Holded. Si alguno de ellos, o Sentry, accediera a datos desde fuera del Espacio Económico Europeo, la transferencia se ampararía en la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795), si el destinatario está adherido a él, o en las cláusulas tipo de protección de datos adoptadas por la Comisión Europea (art. 46.2.c RGPD). Puedes pedir una copia de estas garantías en privacy@hodeitek.com.

Cuánto tiempo los conservamos

Conservamos cada dato el tiempo necesario para su finalidad. Donde la plataforma aplica un plazo automático, lo indicamos.

Cuenta de usuario

Mientras esté activa y tu organización mantenga el servicio.

Cuenta eliminada

Los datos personales se borran definitivamente 30 días después de la eliminación.

Cuentas sin uso

Se suspenden tras 90 días sin acceso; tu organización puede fijar otro plazo.

Sesiones

Duran como máximo 8 horas; el registro de una sesión caducada se borra al día siguiente.

Historial de acceso (IP y navegadores conocidos)

90 días.

Registro de auditoría

365 días en la base de datos; después se archiva en almacenamiento inmutable y se borra de la base.

Registro de solicitudes de derechos

5 años.

Conversaciones con HodeiAI

90 días por defecto. Las tratamos por cuenta de tu organización, así que su conservación se rige por sus instrucciones documentadas (art. 28.3 RGPD).

Enlaces para restablecer o establecer la contraseña y códigos de verificación

Se borran como máximo 30 días después de crearse.

Datos de facturación

Durante la relación y, después, el plazo que exige la ley mercantil y fiscal (con carácter general, seis años: art. 30 del Código de Comercio).

El archivo del registro de auditoría y los datos sin plazo automático se conservan sólo mientras sean necesarios para su finalidad o para atender posibles responsabilidades legales, y después se suprimen.

Lo que carga tu organización se conserva según sus instrucciones documentadas y el contrato de encargo (art. 28.3 RGPD), y eso incluye las conversaciones con HodeiAI y las entradas del registro de auditoría que recogen esos datos: los plazos de esta página son los que la plataforma aplica por defecto. Al terminar el servicio lo devolvemos o lo suprimimos, según sus instrucciones.

Tus derechos

Puedes acceder a tus datos, rectificarlos, suprimirlos, oponerte a su tratamiento, pedir su limitación o su portabilidad y retirar en cualquier momento el consentimiento que hayas dado.

Desde Mi cuenta › Privacidad puedes descargar tus datos, restringir su tratamiento o eliminar tu cuenta sin escribirnos.

Para todo lo demás, escribe a privacy@hodeitek.com desde la dirección de tu cuenta. Responderemos en el plazo de un mes, ampliable dos meses más en solicitudes complejas (art. 12.3 RGPD), y sólo te pediremos más datos para identificarte si tenemos dudas razonables.

Si crees que no hemos tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (C/ Jorge Juan, 6, 28001 Madrid; www.aepd.es) o ante la autoridad de control del Estado miembro de la UE en el que tengas tu residencia habitual o tu lugar de trabajo, o en el que se haya producido la supuesta infracción (art. 77.1 RGPD).

Cómo los protegemos

Cada organización está aislada en la base de datos mediante políticas de seguridad a nivel de fila, todo el tráfico va cifrado con TLS, las contraseñas se guardan con Argon2id, la autenticación admite segundo factor y llaves de acceso, y, en el asistente, el CISO virtual y la redacción de políticas, los datos personales se seudonimizan antes de llegar al modelo de IA.

Cookies

La consola usa sólo cookies técnicas necesarias para funcionar, como la de sesión o la de idioma, y guarda en tu navegador preferencias como tu elección de cookies. No usa cookies de analítica ni de publicidad ni carga herramientas de seguimiento de terceros.

Cambios en este aviso

Publicaremos aquí cualquier cambio, con su fecha de actualización.