Política de Privacidad
Última actualización: 2 de octubre de 2026
Quiénes somos y cómo contactar
DataVigia explota esta plataforma de auditoría de seguridad de datos. Para cualquier cuestión de privacidad o para ejercer sus derechos, contacte con privacy@datavigia.com o utilice el formulario de contacto del sitio web. La identificación completa y el domicilio del responsable están disponibles previa solicitud.
Responsable o encargado, según los datos
En relación con los datos del sitio web, de la cuenta y de la facturación, DataVigia es el responsable del tratamiento. En relación con los datos de las plataformas que el cliente conecta (Microsoft 365, Google Workspace, servidores locales) y con los datos de los empleados utilizados en las simulaciones de formación, es el cliente quien es responsable del tratamiento y DataVigia actúa como encargado del tratamiento, al amparo del acuerdo de encargo del tratamiento (DPA).
Qué datos tratamos
Datos de cuenta (nombre, correo electrónico), datos de facturación, mensajes del formulario de contacto, resultados de las campañas de formación (quién interactuó con las pruebas) y metadatos de seguridad de las plataformas conectadas (permisos, configuraciones, registros de acceso, nombres de archivos y carpetas). NO accedemos al contenido de los archivos de los clientes.
Finalidades y base jurídica
Prestación del servicio y gestión de la cuenta (ejecución del contrato, artículo 6.1.b); facturación y cumplimiento de obligaciones contables y fiscales (obligación legal, artículo 6.1.c); seguridad de la plataforma y prevención del fraude (interés legítimo, artículo 6.1.f); respuesta a contactos comerciales (interés legítimo o consentimiento, que puede retirar en cualquier momento). Los datos de las plataformas del cliente se tratan según las instrucciones del cliente, responsable de garantizar la correspondiente base jurídica.
Quién tiene acceso y encargados del tratamiento
El acceso interno está limitado al personal estrictamente necesario, sujeto a confidencialidad. Recurrimos a encargados del tratamiento vinculados mediante contratos de encargo del tratamiento: Supabase (base de datos y alojamiento, región de la Unión Europea, Irlanda), Vercel (alojamiento y entrega de la aplicación), Anthropic (generación automática de informes en texto), Resend (envío de correo electrónico) y las API de Microsoft y Google (a las que se accede con autorización del cliente). La lista actualizada de encargados del tratamiento está disponible previa solicitud.
Transferencias internacionales
Los datos se alojan en la Unión Europea (Irlanda). Algunos encargados del tratamiento tratan datos fuera del Espacio Económico Europeo, por ejemplo en Estados Unidos. En esos casos se aplican garantías adecuadas, de acuerdo con el mecanismo de transferencia válido en cada momento: las Cláusulas Contractuales Tipo de la Comisión Europea y, cuando el encargado del tratamiento está certificado, la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. Andorra se beneficia de una decisión de adecuación de la Unión Europea, por lo que las transferencias a Andorra no exigen garantías adicionales.
Plazos de conservación
Los datos de cuenta se conservan durante la vigencia del contrato. Los datos de facturación se conservan durante los plazos legales aplicables (por regla general, diez años a efectos fiscales). Los metadatos de seguridad y los resultados de auditorías se conservan durante la relación y se suprimen o devuelven a su término, salvo obligación legal. Los mensajes de contacto se conservan el tiempo necesario para su tratamiento.
Seguridad
Las credenciales de los conectores se guardan en una caja fuerte cifrada a la que solo accede el servicio; cada organización está aislada de las demás (Row Level Security); aplicamos el principio de mínimo privilegio, el control y el registro de accesos, y la minimización de datos (no recogemos el contenido de los archivos).
Decisiones automatizadas
Los informes se elaboran con apoyo de tratamiento automatizado, pero están destinados a apoyar la decisión humana. No adoptamos decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o similarmente significativos sobre las personas, en el sentido del artículo 22 del RGPD.
Sus derechos
Tiene derecho a acceder a sus datos, rectificarlos, suprimirlos, limitar u oponerse al tratamiento, a la portabilidad y a retirar el consentimiento. Respondemos, por regla general, en el plazo de un mes. Si los datos se tratan por cuenta de un cliente (responsable del tratamiento), remitimos la solicitud a ese cliente.
Reclamaciones
Puede presentar una reclamación ante la autoridad de control de su país: en Portugal la CNPD, en España la AEPD, en Francia la CNIL y en Andorra la APDA (Agència Andorrana de Protecció de Dades).
Cookies y menores
Utilizamos únicamente cookies esenciales, descritas en la Política de Cookies. El servicio está dirigido a empresas y no se dirige a menores de edad.
Cambios en esta política
Podemos actualizar esta política para reflejar cambios legales o del servicio. Publicamos la versión vigente en esta página, con la correspondiente fecha de actualización.
Verificador de correos
El Verificador de Correos trata mensajes enviados por los usuarios: asunto, remitentes, cabeceras, cuerpo y adjuntos. Los adjuntos no se ejecutan ni se envían a la IA; pueden consultarse sus hashes en servicios de reputación configurados. El texto limitado y las señales técnicas pueden enviarse a Anthropic. Los archivos, cuerpos y detalles de informes se eliminan del almacenamiento activo de DataVigia en 1–30 días (7 por defecto). Se conservan resultados y metadatos mínimos. La retención en proveedores de correo, IA y copias de seguridad depende de sus contratos y debe revisarse antes de activar el servicio. Cada usuario ve sus verificaciones; los administradores ven las de su organización. La evaluación es orientativa y no elimina mensajes ni toma decisiones automáticamente.
Colector de infraestructura y Wi-Fi
Cuando TI lo activa y configura, trata nombres de equipos, metadatos de reglas OPNsense, nombres e indicadores de recursos Synology visibles para la cuenta y observaciones Wi-Fi de SSID autorizados (SSID, BSSID, frecuencia, señal y protección anunciada). Para otras redes solo se envían totales agregados. No captura tráfico. Las credenciales locales y la clave de asociación permanecen en una carpeta privada del cliente, sin cifrado adicional por el colector, fuera del almacén de conectores cloud. El portal conserva la última recogida por colector, con eliminación programada tras 30 días sin actualizaciones. El cliente define el alcance, establece la base legal e informa a las personas afectadas. Revocar impide nuevos envíos; la eliminación sigue el procedimiento de esta política.
Seguridad de la plataforma
Para proteger cuentas y datos, registramos intentos de acceso denegados, cambios de atributos de privilegio e interacciones con señuelos sin acceso a datos reales. Los registros incluyen la cuenta autenticada cuando se identifica, tipo de evento, ruta sin parámetros, fechas e IP seudonimizada. No incluyen contraseñas, cookies ni cuerpos de solicitudes. El acceso se reserva al responsable de la plataforma, con alertas por correo. Conservación: 30 días; las copias de seguridad y los mensajes siguen la retención de sus servicios. Estos indicios permiten una investigación humana; por sí solos no prueban una intrusión ni quién utilizó una cuenta.
Presencia y actividad operativa
Para la seguridad de las cuentas y el soporte operativo, conservamos durante 30 días la última señal de cada conexión al portal: cuenta, fechas, visibilidad/inactividad de la pestaña, área general (administración, portal, perfil o soporte), IP pública, país/ciudad aproximados y navegador/sistema declarados. Se recoge presencia solo después de autenticación MFA; solo el Mega Admin puede ver la vista global. No recogemos GPS, texto escrito, contenidos ni historial de navegación. La señal no prueba presencia física; VPN puede alterar el origen. Los agentes se asocian a empresas y muestran comunicaciones y recogidas recibidas, sin presuponer instalación en el ordenador de una persona. Los registros originales de autenticación y las copias de seguridad siguen sus propias políticas. La finalidad es la seguridad y operación del servicio, no evaluar productividad.