Política de Privacidad

1. Introducción

En SentriaSec, un producto de ProjectSAU, nos comprometemos a proteger la privacidad y los datos personales de nuestros usuarios. Esta Política de Privacidad describe cómo recopilamos, utilizamos, almacenamos y protegemos la información que proporcionas al utilizar nuestra plataforma de ciberseguridad.

Esta política cumple con la Ley Orgánica de Protección de Datos (LOPD), la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPD-GDD) y el Reglamento General de Protección de Datos (RGPD) de la Unión Europea.

2. Responsable del Tratamiento de Datos

3. Base Legal del Tratamiento

El tratamiento de tus datos personales se basa en las siguientes bases legales:

• Cumplimiento de contrato: Para ejecutar el contrato de servicios de ciberseguridad que existe entre tú y SentriaSec.
• Interés legítimo: Para proporcionar, mejorar y mantener la seguridad de nuestros sistemas, detectar amenazas de ciberseguridad y cumplir con nuestras obligaciones de seguridad.
• Obligación legal: Para cumplir con requisitos legales, normativos y reglamentarios aplicables.
• Consentimiento: Para determinados tratamientos adicionales, cuando es necesario obtenerlo de conformidad con la ley.

4. Finalidad del Tratamiento de Datos

Tratamos tus datos personales con las siguientes finalidades:

• Facilitar el acceso y uso de la plataforma SentriaSec
• Monitoreo continuo de la seguridad de tus sistemas finales
• Detección, análisis y prevención de amenazas de ciberseguridad
• Proporcionar alertas y recomendaciones de seguridad
• Análisis de vulnerabilidades y evaluación de riesgos
• Mantenimiento y mejora de nuestros servicios
• Comunicaciones relacionadas con el servicio y soporte técnico
• Cumplimiento de obligaciones legales y regulatorias
• Garantizar la integridad y seguridad de nuestros sistemas

5. Categorías de Datos Recopilados

SentriaSec recopila y procesa las siguientes categorías de datos personales:

5.1 Datos de Cuenta

• Nombre de usuario
• Dirección de correo electrónico
• Contraseña (almacenada como hash criptográfico seguro)
• Información de autenticación y sesión

5.2 Datos de Endpoints

Información recopilada desde los dispositivos monitoreados:

• Nombre del host / nombre del dispositivo
• Sistema operativo y versión
• Número de serie del dispositivo
• Dirección IP (local y externa)
• Lista de software instalado

5.3 Datos de Análisis de Seguridad

Información recopilada durante los análisis de seguridad:

• Puertos abiertos
• Procesos en ejecución
• Conexiones de red activas
• Hallazgos de vulnerabilidades
• Puntuaciones de riesgo

5.4 Datos de Telemetría

Información de monitoreo en tiempo real:

• Uso de CPU (%)
• Uso de memoria RAM (%)
• Uso de disco (%)
• Estado de batería (dispositivos portátiles)
• Registros de latidos del sistema (heartbeat) - recopilados cada 60 segundos

5.5 Registros de Eventos

• Eventos de seguridad detectados
• Alertas del sistema
• Resultados de análisis de seguridad
• Historial de acciones de usuario
• Registros de cambios de configuración

5.6 Información No Recopilada

6. Plazo de Conservación de Datos

Los datos personales se conservarán durante los siguientes periodos:

Categoría de Datos	Plazo de Conservación
Datos de cuenta y autenticación	Durante la vigencia del contrato + 1 año después de la terminación
Datos de endpoints	Durante el monitoreo activo + 90 días después de desactivación
Datos de análisis de seguridad	Mínimo 12 meses para auditoría y cumplimiento
Telemetría	Últimos 12 meses (datos históricos)
Registros de eventos y alertas	Mínimo 24 meses para propósitos de auditoría

Transcurrido estos plazos, los datos se eliminarán de forma segura, a menos que exista una obligación legal de mantenerlos. En caso de solicitud de eliminación por parte del usuario, los datos se suprimirán conforme a lo descrito en la sección de derechos del usuario.

7. Destinatarios de los Datos y Subprocesadores

Para prestar el servicio, SentriaSec se apoya en proveedores técnicos (subprocesadores) que tratan datos por cuenta de SentriaSec, bajo acuerdos que recogen las obligaciones del artículo 28 del RGPD. La lista actual, su finalidad y su ubicación es:

• Hetzner Online GmbH (Alemania, UE) — hosting de la plataforma y la base de datos. Centros de datos en la UE. Política de privacidad.
• Cloudflare, Inc. (Estados Unidos, con red global incluida la UE) — CDN, mitigación de DDoS y resolución DNS de los dominios del servicio. Procesa metadatos de tráfico (direcciones IP, cabeceras HTTP), no el contenido cifrado. Política de privacidad.
• Stripe Payments Europe Ltd. (Irlanda, UE; con tratamiento global del grupo Stripe) — procesamiento de pagos y suscripciones. Los datos de tarjeta se introducen y custodian directamente en Stripe (cumple PCI-DSS); SentriaSec no almacena números completos de tarjeta. Centro de privacidad.
• Google LLC y GitHub, Inc. (Estados Unidos) — proveedores opcionales de inicio de sesión social (OAuth). Solo se activan si el usuario elige iniciar sesión con Google o GitHub. Reciben el email y el identificador del usuario.
• Proveedor de correo SMTP (UE) — envío de emails transaccionales del producto (verificación de cuenta, alertas, facturas).

Adicionalmente, SentriaSec puede divulgar datos personales únicamente cuando lo requiera:

• Obligación legal: autoridades judiciales, administrativas o competentes, en cumplimiento de la ley aplicable.
• Autoridad de control: Agencia Española de Protección de Datos u otra autoridad de protección de datos en el ejercicio de sus funciones.

Si SentriaSec añade, sustituye o elimina algún subprocesador, lo notificará al cliente con al menos 30 días de antelación para que pueda formular objeciones razonadas. El detalle vinculante de subprocesadores está en el Acuerdo de Encargado del Tratamiento (DPA) que se firma con el cliente.

8. Transferencias Internacionales de Datos

La plataforma principal de SentriaSec está alojada en la Unión Europea, en centros de datos de Hetzner Online GmbH ubicados en Alemania. La base de datos y la lógica de aplicación residen en la UE.

No obstante, algunos de los subprocesadores enumerados en la sección 7 son entidades estadounidenses (Cloudflare, Google y GitHub para OAuth) o tienen operaciones globales (Stripe), lo que puede implicar transferencias internacionales o accesos puntuales desde fuera del Espacio Económico Europeo. Estas transferencias están amparadas por:

• Cláusulas Contractuales Tipo (SCC) de la Comisión Europea, donde el proveedor las haya suscrito.
• Marcos de transferencia reconocidos como adecuados por la Comisión Europea, como el EU-US Data Privacy Framework, cuando el proveedor esté certificado.
• Medidas técnicas complementarias (cifrado TLS extremo a extremo en los flujos relevantes, minimización del dato compartido).

SentriaSec no realiza transferencias internacionales que no estén cubiertas por alguna de estas garantías. El usuario puede solicitar copia de los SCC aplicables escribiendo a la dirección de contacto al final de este documento.

9. Derechos del Usuario Conforme al RGPD y LOPD-GDD

Conforme a la legislación de protección de datos, tienes derecho a:

9.1 Derecho de Acceso

Derecho a obtener confirmación sobre si tus datos personales son tratados y a acceder a una copia de los mismos.

9.2 Derecho de Rectificación

Derecho a corregir o actualizar datos personales inexactos o incompletos.

9.3 Derecho de Eliminación (Derecho al Olvido)

Derecho a solicitar la eliminación de tus datos personales, con algunas excepciones permitidas por la ley (como obligaciones legales de retención o defensa de reclamaciones legales).

9.4 Derecho de Limitación del Tratamiento

Derecho a solicitar que limitemos el procesamiento de tus datos en determinadas circunstancias.

9.5 Derecho de Portabilidad de Datos

Derecho a recibir tus datos en un formato estructurado, comúnmente utilizado y legible por máquinas, así como a transmitirlos a otro responsable.

9.6 Derecho de Oposición

Derecho a oponerte al tratamiento de tus datos personales en ciertas circunstancias, incluyendo fines de marketing directo.

9.7 Derechos Relacionados con Decisiones Automatizadas

Derecho a no ser sometido a una decisión basada únicamente en el tratamiento automatizado que te afecte significativamente.

9.8 Derecho a Retirar el Consentimiento

En cualquier momento, puedes retirar el consentimiento que hayas dado para el tratamiento de tus datos.

10. Cómo Ejercer Tus Derechos

Para ejercer cualquiera de los derechos mencionados anteriormente, debes enviar una solicitud por escrito a:

En tu solicitud, debes incluir:

• Tu nombre e información de contacto
• Descripción clara del derecho que deseas ejercer
• Información específica sobre los datos a los que se refiere tu solicitud
• Copia de un documento de identidad válido (para verificación de identidad)

Plazo de respuesta: Responderemos a tu solicitud en un plazo máximo de 30 días hábiles desde su recepción. Este plazo puede extenderse 60 días más en caso de solicitudes complejas, según lo establecido en el RGPD.

11. Cookies y Tecnologías de Seguimiento

SentriaSec utiliza cookies de forma mínima, únicamente para funciones esenciales:

• Cookies de sesión: Necesarias para mantener tu autenticación y acceso seguro a la plataforma
• Cookies funcionales: Para recordar tus preferencias básicas de interfaz de usuario

No utilizamos: cookies de seguimiento, análisis, publicidad, ni tecnologías de perfilado comportamental.

Puedes controlar o desactivar las cookies a través de la configuración de tu navegador web. La desactivación de cookies esenciales puede afectar a la funcionalidad de la plataforma.

12. Medidas de Seguridad

SentriaSec implementa medidas técnicas, administrativas y organizativas para proteger tus datos personales contra acceso no autorizado, alteración, divulgación o destrucción:

• Cifrado en tránsito: HTTPS/TLS forzado en todos los puntos de entrada, con certificate pinning en el agente endpoint.
• Almacenamiento seguro: los datos residen en servidores con acceso restringido al personal autorizado y políticas de aislamiento multi-tenant (Row-Level Security en la base de datos).
• Hashing de contraseñas: las contraseñas se almacenan derivadas con un algoritmo de hashing con sal y 200.000 iteraciones (PBKDF2-HMAC-SHA256). No se almacenan en texto plano.
• Control de acceso: autenticación de dos factores disponible (TOTP o código por email). El acceso administrativo a la infraestructura está limitado al personal autorizado.
• Revisiones de seguridad internas: auditorías periódicas del código y de la configuración de la infraestructura, registro continuo de eventos y monitorización.
• Respuesta a incidentes: procedimientos establecidos para detectar, documentar y responder a posibles brechas de seguridad, incluida la notificación a las partes afectadas y a la autoridad de control cuando sea exigible.

13. Notificación de Brechas de Seguridad

En caso de que ocurra una brecha de seguridad que afecte tus datos personales, SentriaSec:

• Te notificará sin demora injustificada
• Proporcionará información sobre la naturaleza de la brecha
• Describirá las medidas tomadas o previstas para remediarlo
• Indicará a qué persona contactar para más información

Además, notificaremos a las autoridades competentes de protección de datos cuando sea requerido por ley.

14. Privacidad de Menores

SentriaSec no está dirigido a menores de 18 años. No recopilamos deliberadamente información de personas menores de edad. Si descubrimos que hemos recopilado datos de un menor sin consentimiento parental, tomaremos medidas para eliminar esa información de inmediato.

15. Enlaces a Sitios Terceros

La plataforma de SentriaSec puede contener enlaces a sitios web de terceros. No somos responsables de las prácticas de privacidad de estos sitios externos. Te recomendamos revisar las políticas de privacidad de cualquier sitio tercero antes de proporcionar tus datos personales.

16. Cambios en esta Política de Privacidad

SentriaSec se reserva el derecho de actualizar esta Política de Privacidad en cualquier momento. Cualquier cambio será comunicado:

• Mediante publicación de la versión actualizada en nuestro sitio web
• Con notificación directa a través del correo electrónico registrado si los cambios son significativos

Tu uso continuado de SentriaSec después de cambios materiales implica tu aceptación de la política actualizada. Te recomendamos revisar esta política periódicamente para estar informado sobre cómo protegemos tus datos.

17. Información de Contacto

Si tienes preguntas, preocupaciones o solicitudes relacionadas con esta Política de Privacidad o con nuestras prácticas de protección de datos, puedes contactarnos en:

18. Derecho a Presentar Reclamación ante la Autoridad de Control

Además de los derechos mencionados anteriormente, tienes derecho a presentar una reclamación ante la autoridad de protección de datos competente si considerás que el tratamiento de tus datos personales incumple la normativa de protección de datos.

En España, la autoridad competente es la Agencia Española de Protección de Datos (AEPD):

19. Disposiciones Finales

Esta Política de Privacidad se rige por la ley española y en particular por:

• Reglamento General de Protección de Datos (RGPD) - (UE) 2016/679
• Ley Orgánica de Protección de Datos (LOPD) - Ley Orgánica 3/2018
• Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPD-GDD) - Ley Orgánica 3/2018, modificada por la Ley Orgánica 3/2023