política de privacidad

PrivBeacon («nosotros», «nos», «nuestro») es el nombre del producto de la plataforma de cumplimiento de privacidad en https://www.privbeacon.com. El servicio es propiedad de y está operado por Vassbrekke AS, una empresa registrada en Norway. Esta Política de privacidad describe cómo recopilamos, usamos, almacenamos, compartimos y protegemos la información personal cuando utilizas nuestro sitio web, APIs, plugins, agente local y servicios relacionados (los «Servicios»).

Responsable del tratamiento: Vassbrekke AS Dirección: Stolevegen, 5514 Haugesund, Norway País: Norway

Contacto de privacidad y protección de datos: privacy@privbeacon.com (No hemos nombrado un DPD formal aparte; las solicitudes de privacidad van al mismo contacto.) Soporte: support@privbeacon.com

Actuamos en roles distintos según los datos:

Responsable del tratamiento — para el registro de cuentas, autenticación, facturación, uso del producto, escaneos públicos gratuitos que realizas en nuestro sitio, etiquetas de conversión de marketing (con consentimiento), registros de seguridad y la operación de nuestro propio sitio.

Encargado del tratamiento — cuando usas funciones de PrivBeacon que almacenan datos personales de tus usuarios finales u otros terceros siguiendo tus instrucciones, en particular el seguimiento de solicitudes DSAR en el producto (correos y notas de solicitantes), configuraciones de monitorización de sitios (correos de alerta) y espacios de trabajo de escaneo vinculados a tu organización. En esos casos tú eres el responsable de esos datos de terceros y debes contar con una base jurídica para recogerlos y tratarlos; nosotros los tratamos solo para prestar los Servicios.

Operador independiente en sitios escaneados — cuando nuestro escáner recupera una URL pública (o una URL que autorizas), tratamos el contenido técnico de ese sitio para elaborar un informe de cumplimiento. Solo debes escanear sitios de tu propiedad o para los que tengas autorización de prueba.

Tratamos datos personales con las siguientes bases jurídicas (GDPR / UK GDPR):

• Consentimiento — cookies no esenciales y tecnologías similares (incluida la medición de conversiones de Google Ads si aceptas las cookies de marketing); comunicaciones de marketing opcionales cuando lo pedimos por separado.
• Contrato — crear y proteger tu cuenta; prestar los escaneos, paneles, informes, insignias, APIs, plugins, facturación y soporte que solicitas.
• Intereses legítimos — proteger los Servicios, limitar tasas y prevenir fraude/abuso, depurar, mejorar la fiabilidad y la calidad del producto, y una autocalificación limitada de nuestro propio sitio, ponderados frente a tus derechos.
• Obligación legal — conservar o comunicar información cuando lo exija la ley, la normativa o un proceso legal válido.

Usamos cookies esenciales para autenticación, seguridad y recordar tus elecciones de cookies. Las categorías opcionales de analítica y marketing aparecen en nuestro banner de consentimiento. Las tecnologías no esenciales se cargan solo si das tu consentimiento (ePrivacy / GDPR).

Nuestro banner ofrece Aceptar todo, Rechazar todas las no esenciales (rechazar las cookies opcionales con la misma facilidad que aceptarlas) y Gestionar preferencias con opciones granulares por categoría.

Hoy, la única etiqueta de terceros opcional que desplegamos en privbeacon.com es la etiqueta de conversión de Google Ads, condicionada a la categoría de marketing. Rechazar las cookies de marketing (o rechazar todas las no esenciales) impide que se cargue esa etiqueta. No vendemos información personal. Consulta la Política de cookies para ejemplos de categorías y cómo cambiar las preferencias.

Las funciones de IA pueden generar resúmenes de informes de cumplimiento y borradores de política de privacidad a partir de metadatos del escaneo (por ejemplo URL o nombre del sitio, puntuación, nombres de proveedores de rastreadores y etiquetas de lagunas). La detección de incidencias y la puntuación son basadas en reglas y no usan un modelo de lenguaje. Los escaneos públicos gratuitos no llaman a un proveedor de IA.

Producción (privbeacon.com): los escaneos autenticados envían esos metadatos del escaneo a xAI (Grok) en Estados Unidos. Pedimos a xAI que no almacene el prompt ni la respuesta. No usamos OpenAI ni una instancia Ollama autoalojada para las funciones de IA de producción de PrivBeacon.

Si la petición a xAI falla, recurrimos a texto basado en plantillas sin llamar a otro proveedor de modelos. No envíes secretos ni datos personales innecesarios en campos de texto libre al usar funciones asistidas por IA.

Escaneos públicos gratuitos (sin cuenta): tratamos la URL que envías y tu dirección IP (limitación de tasa / prevención de abusos), recuperamos el sitio de destino y devolvemos los hallazgos. Un informe compartible se almacena con un token aleatorio durante 14 días y luego se elimina. Los tokens no son adivinables y no se indexan. Los resultados no se vinculan a una cuenta salvo que más tarde te registres y vuelvas a escanear.

Escaneos autenticados: almacenamos resultados de escaneo y artefactos generados en tu cuenta durante los plazos de conservación indicados más abajo. Puedes eliminar escaneos desde el panel (según las funciones del producto).

Autorización: solo debes escanear sitios web de tu propiedad o para los que tengas permiso de prueba. El escaneo puede contactar dominios de terceros referenciados por el sitio de destino como parte de la detección.

Plugins y agente: los embeds de WordPress/Shopify y el agente local se comunican con nuestras APIs usando las credenciales que configures; tratan identificadores del sitio y datos relacionados con el escaneo necesarios para mostrar insignias o sincronizar resultados.

Páginas públicas de insignia / verificación: si activas la certificación, el estado de la insignia y metadatos limitados de cumplimiento del sitio pueden ser de acceso público a través de las URL de insignia y verificación.

Compartimos información personal solo como se describe en esta política:

• Encargados y proveedores de infraestructura enumerados más abajo, bajo contrato y (cuando proceda) salvaguardas de transferencia.
• Stripe para pagos; Google/GitHub si usas OAuth; Google Ads si consientes las cookies de marketing; xAI para resúmenes de informes de IA y borradores de política en escaneos autenticados; proveedores de correo si el correo transaccional está activado.
• Endpoints que configures (correo de alerta, webhooks): tú controlas esos destinatarios.
• Datos de insignia/verificación pública que elijas publicar.
• Legal y seguridad — si lo exige la ley, un proceso legal, o para proteger derechos, seguridad e integridad de los Servicios o de los usuarios.
• Transferencias empresariales — en relación con una fusión, adquisición o venta de activos, con aviso cuando sea obligatorio.

No vendemos información personal según la definición de CCPA/CPRA. No compartimos información personal para publicidad conductual entre contextos, salvo en la medida limitada en que la medición opcional de conversiones de Google Ads (tras consentimiento de marketing) implica facilitar identificadores o datos de eventos a Google para la atribución de conversiones, según las políticas de Google. Puedes oponerte rechazando las cookies de marketing o contactándonos.

El alojamiento principal de la aplicación lo opera Vassbrekke AS en Norway / EU. Los datos personales también pueden tratarse en otros países donde operan nuestros encargados, incluidos Estados Unidos para Stripe, Google (OAuth y, con consentimiento, conversión de Ads), OAuth de GitHub, xAI (resúmenes de IA y borradores de política) y cualquier uso opcional de Resend.

Cuando el GDPR/UK GDPR lo exija para transferencias fuera del Reino Unido/EEE/Suiza, nos apoyamos en salvaguardas adecuadas como las Cláusulas Contractuales Tipo de la Comisión Europea (y adendas del Reino Unido cuando proceda), Acuerdos de Encargo de Tratamiento con los proveedores y evaluaciones de impacto de la transferencia según sea necesario. Puedes contactarnos para más información sobre los mecanismos de transferencia.

Conservamos los datos personales solo el tiempo necesario para las finalidades anteriores, salvo que la ley exija un plazo más largo:

• Datos de cuenta — mientras la cuenta esté activa y hasta 24 meses tras el cierre (o antes si solicitas válidamente la supresión y no hay retención legal).
• Resultados de escaneo y artefactos generados — mientras estén asociados a una cuenta activa; puedes eliminar escaneos individuales en el producto. Las cuentas cerradas siguen la ventana de conservación de la cuenta, salvo que pidas una supresión anterior.
• Entradas de escaneo público gratuito — se tratan para producir una respuesta inmediata. Un informe de hallazgos compartible (puntuación, incidencias nombradas, proveedores de rastreadores, host) se almacena bajo un token aleatorio durante 14 días y luego se elimina. Los registros de seguridad (p. ej. límites de tasa por IP) pueden persistir durante ventanas operativas más cortas (normalmente hasta 30–90 días).
• Registros de la herramienta DSAR que creas — hasta que los elimines o se cierre/elimine tu cuenta según el calendario de la cuenta (sigues siendo responsable de ese contenido).
• Registros de facturación — según lo exijan impuestos, contabilidad y resolución de disputas (a menudo más allá del cierre de la cuenta).
• Elección de cookies / consentimiento — hasta 12 meses para la cookie de consentimiento, o hasta que borres los datos del sitio.
• Datos de Google Ads / conversión — sujetos a la conservación de Google; no operamos una base de datos propia de perfiles publicitarios a largo plazo.
• Prompts/respuestas de xAI — pedimos a xAI que no almacene el historial de conversación. Los resúmenes y borradores generados que guardamos se conservan con tus registros de escaneo/cuenta como arriba.

Al terminar la conservación, eliminamos o anonimizamos de forma irreversible los datos cuando es viable.

Aplicamos medidas técnicas y organizativas adecuadas al riesgo, incluida cifrado TLS en tránsito, LUKS en el host Proxmox que almacena los volúmenes de la aplicación (las VM invitadas no están cifradas por separado), sistemas de producción con control de acceso limitados a operadores de Vassbrekke AS, contraseñas con hash (para cuentas de correo/contraseña), claves API con hash, acceso operativo de mínimo privilegio, aislamiento de inquilinos en el panel del producto, actualizaciones de dependencias e infraestructura, y controles de limitación de tasa / abuso. Ningún método de transmisión o almacenamiento es 100 % seguro; si crees haber encontrado una vulnerabilidad, contacta privacy@privbeacon.com o support@privbeacon.com.

GDPR / UK GDPR: acceso, rectificación, supresión, limitación, portabilidad, oposición y retirada del consentimiento (cuando el tratamiento se base en el consentimiento). También puedes presentar una reclamación ante tu autoridad de control local (por ejemplo tu autoridad de protección de datos de la UE/EEE o el ICO del Reino Unido).

CCPA / CPRA (California) y leyes estatales similares de EE. UU.: derecho a conocer/acceder, suprimir, corregir y oponerse a la venta/compartición; no discriminación por ejercer derechos. No vendemos información personal. La medición limitada de conversiones con Google tras consentimiento se describe en «Cómo compartimos» más arriba y se puede controlar en las preferencias de cookies.

Otras regiones (incluidos LGPD, PIPEDA, POPIA, APPI, PDPA, PIPA, Privacy Act (Australia), FADP y leyes estatales de EE. UU. como VCDPA, CPA, CTDPA): contáctanos para ejercer los derechos de acceso, corrección, supresión o portabilidad que te correspondan.

Cómo ejercerlos: envía una solicitud a través de nuestro formulario DSAR en https://www.privbeacon.com/legal/dsar, o escribe a privacy@privbeacon.com indicando el tipo de solicitud (acceso, supresión, corrección, oposición, etc.). Verificaremos tu solicitud según exija la ley y responderemos en los plazos aplicables (por ejemplo hasta 45 días en CCPA, con posibles prórrogas legales; sin dilación indebida y en el plazo de un mes en GDPR cuando proceda). Consulta también nuestra página de Opciones de privacidad.

Eliminación de cuenta: envía una solicitud de supresión a través del formulario DSAR o a privacy@privbeacon.com (o con los controles del producto cuando estén disponibles). Eliminaremos o anonimizaremos los datos personales de los que somos responsables, sujeto a necesidades legales de conservación. Los datos que almacenaste como responsable (p. ej. correos de solicitantes DSAR) se eliminan con tu cuenta o antes si borras esos registros.

PrivBeacon es un servicio profesional/empresarial y no está dirigido a menores. No recopilamos a sabiendas información personal de menores de 16 años (ni de menores de 13 donde aplique COPPA). Si crees que un menor nos ha facilitado datos personales, contacta privacy@privbeacon.com y tomaremos las medidas oportunas para eliminarlos.

Podemos actualizar esta Política de privacidad de vez en cuando. La fecha de «Última actualización» al inicio de la política cambiará cuando lo hagamos. Los cambios materiales se destacarán en esta página y, cuando proceda, se notificarán por correo o aviso en el producto. El uso continuado de los Servicios tras la fecha de entrada en vigor implica la aceptación de la política actualizada cuando la ley lo permita.