Política de Privadesa
Última actualització: 2 d’octubre de 2026
Qui som i com contactar
DataVigia explota aquesta plataforma d'auditoria de seguretat de dades. Per a qualsevol qüestió de privadesa o per exercir els seus drets, contacteu amb privacy@datavigia.com o utilitzeu el formulari de contacte del web. La identificació completa i l'adreça del responsable estan disponibles a petició.
Responsable o encarregat del tractament, segons les dades
Pel que fa a les dades del web, del compte i de la facturació, DataVigia és la responsable del tractament. Pel que fa a les dades de les plataformes que el client connecta (Microsoft 365, Google Workspace, servidors locals) i a les dades dels treballadors utilitzades en les simulacions de formació, és el client el responsable del tractament i DataVigia actua com a encarregat del tractament, en virtut de l'acord d'encàrrec del tractament (DPA).
Quines dades tractem
Dades del compte (nom, correu electrònic), dades de facturació, missatges del formulari de contacte, resultats de les campanyes de formació (qui ha interactuat amb les proves) i metadades de seguretat de les plataformes connectades (permisos, configuracions, registres d'accés, noms de fitxers i carpetes). NO accedim al contingut dels fitxers dels clients.
Finalitats i base jurídica
Prestació del servei i gestió del compte (execució del contracte, article 6.1.b); facturació i compliment d'obligacions comptables i fiscals (obligació legal, article 6.1.c); seguretat de la plataforma i prevenció del frau (interès legítim, article 6.1.f); resposta a contactes comercials (interès legítim o consentiment, que podeu retirar en qualsevol moment). Les dades de les plataformes del client es tracten segons les instruccions del client, responsable d'assegurar-ne la base jurídica corresponent.
Qui hi té accés i encarregats del tractament
L'accés intern es limita al personal estrictament necessari, subjecte a confidencialitat. Recorrem a encarregats del tractament vinculats per contractes d'encàrrec del tractament: Supabase (base de dades i allotjament, regió de la Unió Europea, Irlanda), Vercel (allotjament i lliurament de l'aplicació), Anthropic (generació automàtica d'informes en text), Resend (enviament de correu electrònic) i les API de Microsoft i Google (accedides amb autorització del client). La llista actualitzada d'encarregats del tractament està disponible a petició.
Transferències internacionals
Les dades s'allotgen a la Unió Europea (Irlanda). Alguns encarregats del tractament tracten dades fora de l'Espai Econòmic Europeu, per exemple als Estats Units. En aquests casos s'apliquen garanties adequades, d'acord amb el mecanisme de transferència vàlid a la data: les Clàusules Contractuals Tipus de la Comissió Europea i, quan l'encarregat del tractament està certificat, la decisió d'adequació del Marc de Privadesa de Dades UE-EUA. Andorra es beneficia d'una decisió d'adequació de la Unió Europea, per la qual cosa les transferències cap a Andorra no exigeixen garanties addicionals.
Terminis de conservació
Les dades del compte es conserven durant la vigència del contracte. Les dades de facturació es conserven pels terminis legals aplicables (en general, deu anys a efectes fiscals). Les metadades de seguretat i els resultats d'auditories es conserven durant la relació i s'eliminen o es retornen en finalitzar-la, llevat d'obligació legal. Els missatges de contacte es conserven el temps necessari per al seu tractament.
Seguretat
Les credencials dels connectors resten en una caixa forta xifrada a la qual només accedeix el servei; cada organització està aïllada de les altres (Row Level Security); apliquem el principi de mínim privilegi, el control i el registre d'accessos, i la minimització de dades (no recollim el contingut dels fitxers).
Decisions automatitzades
Els informes s'elaboren amb el suport de processament automatitzat, però tenen la finalitat de donar suport a la decisió humana. No prenem decisions exclusivament automatitzades amb efectes jurídics o de manera similar significatius sobre les persones, en el sentit de l'article 22 del RGPD.
Els seus drets
Teniu dret a accedir a les vostres dades, rectificar-les, suprimir-les, limitar-ne o oposar-vos-en al tractament, a la portabilitat i a retirar el consentiment. Responem, en general, en el termini d'un mes. Si les dades es tracten per compte d'un client (responsable del tractament), reencaminem la sol·licitud a aquest client.
Reclamacions
Podeu presentar una reclamació davant l'autoritat de control del vostre país: a Portugal la CNPD, a Espanya l'AEPD, a França la CNIL i a Andorra l'APDA (Agència Andorrana de Protecció de Dades).
Galetes i menors
Utilitzem només galetes essencials, descrites a la Política de Galetes. El servei s'adreça a empreses i no es dirigeix a menors d'edat.
Modificacions d'aquesta política
Podem actualitzar aquesta política per reflectir canvis legals o del servei. Publiquem la versió en vigor en aquesta pàgina, amb la data d'actualització corresponent.
Verificador de correus
El Verificador de Correus tracta missatges enviats pels usuaris: assumpte, remitents, capçaleres, cos i adjunts. Els adjunts no s’executen ni s’envien a la IA; es poden consultar els seus hashes en serveis de reputació configurats. El text limitat i els senyals tècnics es poden enviar a Anthropic. Els fitxers, cossos i detalls dels informes s’eliminen de l’emmagatzematge actiu de DataVigia al cap d’1–30 dies (7 per defecte). Es conserven resultats i metadades mínimes. La retenció als proveïdors de correu, IA i còpies de seguretat depèn dels contractes i s’ha de revisar abans d’activar el servei. Cada usuari veu les seves verificacions; els administradors veuen les de l’organització. L’avaluació és orientativa i no elimina missatges ni pren decisions automàtiques.
Col·lector d’infraestructura i Wi-Fi
Quan TI l’activa i configura, tracta noms d’equips, metadades de regles OPNsense, noms i indicadors de recursos Synology visibles al compte i observacions Wi-Fi dels SSID autoritzats (SSID, BSSID, freqüència, senyal i protecció anunciada). Per a altres xarxes només s’envien totals agregats. No captura trànsit. Les credencials locals i la clau d’associació resten en una carpeta privada del client, sense xifrat addicional pel col·lector, fora del magatzem dels connectors cloud. El portal conserva l’última recollida per col·lector, amb eliminació programada després de 30 dies sense actualitzacions. El client defineix l’abast, estableix la base legal i informa les persones afectades. Revocar impedeix nous enviaments; l’eliminació segueix el procediment d’aquesta política.
Seguretat de la plataforma
Per protegir comptes i dades, registrem intents d’accés denegats, canvis d’atributs de privilegi i interaccions amb esquers sense accés a dades reals. Els registres inclouen el compte autenticat quan s’identifica, el tipus d’esdeveniment, la ruta sense paràmetres, les dates i una IP pseudonimitzada. No inclouen contrasenyes, galetes ni cossos de peticions. Accés reservat al responsable de la plataforma, amb alertes per correu. Conservació: 30 dies; les còpies de seguretat i els missatges segueixen la retenció dels seus serveis. Aquests indicis ajuden a una investigació humana, però no proven per si sols una intrusió ni qui ha utilitzat un compte.
Presència i activitat operativa
Per a la seguretat dels comptes i el suport operatiu, conservem durant 30 dies el darrer senyal de cada connexió al portal: compte, dates, visibilitat/inactivitat de la pestanya, àrea general (administració, portal, perfil o suport), IP pública, país/ciutat aproximats i navegador/sistema declarats. Es recull presència només després d’autenticació MFA; només el Mega Admin pot veure la visió global. No recollim GPS, text escrit, continguts ni historial de navegació. El senyal no prova presència física; VPN pot alterar l’origen. Els agents s’associen a empreses i mostren comunicacions i recollides rebudes, sense pressuposar instal·lació a l’ordinador d’una persona. Els registres originals d’autenticació i les còpies de seguretat segueixen les seves polítiques. La finalitat és la seguretat i operació del servei, no avaluar productivitat.