Protección para sobrevivir a los ciberataques1. Responsable del tratamiento
El responsable del tratamiento es José Romero Salvador, titular del proyecto CiberDatia. Puedes contactar y ejercer tus derechos mediante el formulario de contacto, eligiendo la opción «Ejercer mis derechos de protección de datos» e indicando en el mensaje el derecho que deseas ejercer. Para estas solicitudes no es necesario indicar empresa ni tamaño de plantilla.
2. Qué datos tratamos
Cuando solicitas información podemos tratar nombre, apellidos, email profesional, empresa, número de empleados, teléfono si lo facilitas, servicio de interés y el contenido de tu consulta. También registramos la página de procedencia, el botón utilizado y, si existen, los parámetros de campaña UTM, junto con la versión de esta información que se te mostró.
Los formularios pueden conservar un borrador en el almacenamiento local de este navegador para que no tengas que volver a rellenarlos. Según el formulario, puede incluir datos de contacto y de empresa, respuestas al cuestionario, dominio, facturación y servicios o cantidades seleccionados. Guardarlo o recuperarlo no envía su contenido a CiberDatia; el envío de un formulario o el inicio de un diagnóstico es una acción aparte.
Los borradores no recuerdan consentimientos ni autorizaciones. En el diagnóstico de exposición se guardan el dominio, el correo profesional y los bloques elegidos: no se conservan en el borrador los resultados, el permiso para analizar, las autorizaciones de descarga ni los tokens. Recuperarlo no inicia un análisis automáticamente.
Para limitar envíos abusivos, la infraestructura puede facilitar datos técnicos de la conexión. El sitio no guarda la dirección IP ni el agente de usuario en claro: genera una huella temporal para aplicar límites de envío, separada de la medición de uso.
Medimos únicamente microconversiones necesarias para evaluar y mejorar el sitio: clics en llamadas a la acción, inicio y finalización del diagnóstico, descargas y envíos completados. Se conservan como recuentos diarios agregados por tipo de evento, ruta de la página y destino interno. La medición no incorpora parámetros de consulta, identificadores de persona o dispositivo, dirección IP, agente de usuario, email, empresa, respuestas ni contenido de los formularios.
Si realizas el diagnóstico, también podemos tratar cargo o área, tamaño y sector de la empresa, país, herramienta o sistema indicado, respuestas al cuestionario, resultado orientativo y marcas de riesgo generadas a partir de esas respuestas.
Si utilizas el diagnóstico de exposición, tratamos el dominio indicado, los bloques seleccionados, la fecha de la consulta y las observaciones obtenidas de fuentes públicas. Antes de iniciarlo, el servidor recibe tu correo profesional y tu autorización expresa para comprobar la coincidencia con el dominio y el permiso declarado. Estos dos datos se validan en la petición, no se incorporan al historial del análisis ni se utilizan para publicidad. No se verifica el control del buzón mediante un enlace o código. El informe puede incluir respuesta y redirecciones de la web, tecnologías observables, configuración pública, DNS, mecanismos de autenticación del correo, certificados, subdominios y recuentos agregados de filtraciones conocidas. No solicitamos contraseñas ni accedemos a cuentas.
Para aplicar límites de uso al diagnóstico de exposición se genera una huella diaria a partir de la dirección de conexión. No se conserva la dirección IP en claro dentro del análisis. La autorización para descargar el PDF queda vinculada a la consulta y caduca automáticamente.
No incluyas en campos abiertos datos de salud, biométricos, ideología, afiliación sindical, religión, orientación sexual u otras categorías especiales, ni secretos o información de terceros que no sea necesaria.
3. Para qué y con qué base jurídica
4. Plazos de conservación
Las consultas y propuestas se conservan durante el tiempo necesario para responder y gestionar la relación y, después, durante los plazos de prescripción aplicables. La información contractual y de facturación se conserva durante los periodos exigidos por la normativa.
Los datos utilizados para comunicaciones comerciales se conservarán hasta que retires el consentimiento o ejerzas tu derecho de oposición. Los diagnósticos se vinculan a la solicitud que permite entregar y revisar el resultado. La limitación se aplica en ventanas de 15 minutos y, al recibir solicitudes posteriores, se depuran las huellas técnicas que superan 24 horas. De igual forma, los recuentos diarios agregados se depuran cuando llega nueva actividad una vez superados 25 meses.
En el diagnóstico de exposición, la autorización pública para descargar el detalle caduca a las 24 horas. El historial técnico de dominios, fechas, métricas, resultados e informes PDF puede conservarse durante un máximo de 90 días para operar la herramienta, resolver incidencias y atender una revisión solicitada. Las huellas diarias utilizadas para limitar consultas se renuevan y se depuran conforme avanza el servicio.
Los borradores locales tienen una caducidad de 30 días desde su última edición y solo se recuperan en el navegador donde se guardaron. Puedes eliminarlos borrando los datos del sitio en la configuración del navegador. Si utilizas un equipo compartido, elimina esos datos antes de salir. Si habías desactivado el guardado en una visita anterior, se respeta esa preferencia mientras siga almacenada. Consulta también la política de cookies y almacenamiento local.
5. Destinatarios y proveedores
No vendemos tus datos. Podrán acceder proveedores que prestan servicios necesarios de alojamiento, infraestructura, almacenamiento, seguridad, comunicación o soporte, bajo las obligaciones de protección de datos que correspondan. También podrán comunicarse datos cuando exista una obligación legal.
El diagnóstico de exposición funciona sobre infraestructura de Cloudflare y puede consultar fuentes públicas o servicios de terceros: DNS y la web indicada; crt.sh para el historial público de certificados; NVD del NIST y el catálogo KEV de CISA para avisos de vulnerabilidad; Shodan InternetDB para observaciones históricas de direcciones públicas; y Have I Been Ransomed para indicadores agregados de filtraciones y ransomware cuando esa función está disponible. Según la comprobación, el proveedor puede recibir el dominio, una dirección pública o el producto consultado. En filtraciones solo se conserva el recuento agregado y su cobertura.
Cuando solicites asesoramiento o mediación en un seguro de ciberriesgos, los datos necesarios para atender la petición podrán comunicarse a INSURANCE AREA CORREDURÍA DE SEGUROS, S.L., CIF B02827772, DGSFP J3950, para analizar las exigencias y necesidades y, en su caso, preparar y tramitar una propuesta. Antes del envío se mostrará la información específica sobre su intervención y el papel que corresponda a cada responsable.
Si un proveedor trata datos fuera del Espacio Económico Europeo, se utilizará un mecanismo de transferencia reconocido por la normativa aplicable, como una decisión de adecuación o cláusulas contractuales tipo, junto con las medidas necesarias.
6. Tus derechos
Puedes solicitar acceso, rectificación, supresión, oposición, limitación y portabilidad cuando proceda, así como retirar el consentimiento sin afectar a la licitud del tratamiento anterior.
Utiliza el formulario de contacto, con la opción «Ejercer mis derechos de protección de datos», e identifica el derecho solicitado. Podremos pedir información adicional razonable para verificar tu identidad. También puedes presentar una reclamación ante la Agencia Española de Protección de Datos.
7. Diagnósticos y decisiones automatizadas
El test de IA aplica reglas a las respuestas para mostrar una orientación inicial. No adopta decisiones con efectos jurídicos o significativos sobre la persona y no sustituye una clasificación profesional del sistema o del caso de uso.
El diagnóstico de exposición resume señales técnicas públicas. No asigna una certificación de seguridad, no demuestra la existencia o ausencia de una vulnerabilidad y no decide automáticamente qué debe contratar la empresa. Los resultados necesitan contexto y, cuando corresponda, validación profesional.
8. Seguridad y cambios
Aplicamos medidas razonables para proteger la información, aunque ningún sistema conectado puede garantizar riesgo cero. La medición descrita no se envía cuando el navegador comunica Global Privacy Control o «Do Not Track». Actualizaremos esta política cuando cambien las finalidades, los proveedores o el funcionamiento del sitio; la fecha de la versión se mostrará al inicio.