Política de privacidad

Responsable del tratamiento

El responsable del tratamiento es HUCENCY, sociedad de responsabilidad limitada (SARL) con un capital social de 50 000 €, inscrita en el Registro Mercantil y de Sociedades de Ruan con el número 832 080 055 y con domicilio social en 313, rue Edouard Delamare Deboutteville, 76160 Saint-Martin-du-Vivier, Francia. Sus datos completos figuran en el aviso legal.

Datos tratados, finalidades y bases jurídicas

Solo tratamos sus datos para las finalidades que se describen a continuación, cada una basada en una base jurídica en el sentido del artículo 6 del RGPD.

Gestión de cuentas y autenticación: creación de la cuenta, inicio de sesión y seguridad (dirección de correo electrónico, contraseña cifrada, doble autenticación e identidad de inicio de sesión mediante una cuenta de terceros, en su caso).

Ejecución del contrato (art. 6.1.b)

Supervisión DMARC: recogida y análisis de los informes de agregación (RUA) de los dominios que usted supervisa (direcciones IP de origen, volúmenes, alineación SPF/DKIM, identificación de las fuentes de envío). Respecto de los datos de terceros que figuran en dichos informes, el cliente es el responsable del tratamiento y HUCENCY actúa como encargado.

Ejecución del contrato (art. 6.1.b)

Asistente de IA « Thomas »: tratamiento del contenido de sus conversaciones con el asistente para ayudarle en la implantación de DMARC. El chat público utilizado sin cuenta se aborda en un apartado específico más abajo.

Ejecución del contrato (art. 6.1.b) para los usuarios autenticados; interés legítimo en prestar y mejorar el asistente (art. 6.1.f) para el chat público sin cuenta

Correos transaccionales: envío de los mensajes relacionados con el servicio (verificación, notificaciones, alertas).

Ejecución del contrato (art. 6.1.b)

Facturación y pago: gestión de las suscripciones, las facturas y el IVA.

Obligación legal contable y fiscal (art. 6.1.c) y ejecución del contrato (art. 6.1.b)

Prospección: tratamiento de las direcciones de correo electrónico facilitadas durante un análisis público o una solicitud de contacto.

Interés legítimo en desarrollar nuestra actividad (art. 6.1.f); consentimiento (art. 6.1.a) cuando usted se suscribe voluntariamente a nuestras comunicaciones

Medición de audiencia: estadísticas de visitas del sitio (páginas vistas, país derivado, tipo de dispositivo), sin cookies y sin conservar su dirección IP. Con su consentimiento, Google Analytics 4 realiza una medición de audiencia complementaria (cookies, véase la sección «Cookies»).

Interés legítimo en medir y mejorar nuestra audiencia (art. 6.1.f); consentimiento (art. 6.1.a) para Google Analytics

Publicidad y medición de campañas: con su consentimiento, el LinkedIn Insight Tag mide la eficacia de nuestras campañas en LinkedIn y permite crear audiencias publicitarias en LinkedIn (véase la sección «Cookies»).

Consentimiento (art. 6.1.a)

Registro de auditoría y seguridad: trazabilidad de las acciones y prevención de abusos (dirección IP, correo del autor de la acción, acción realizada, marca de tiempo).

Obligación legal de seguridad (art. 6.1.c) e interés legítimo en proteger el servicio (art. 6.1.f)

Informes forenses (RUF): su recogida está desactivada de forma predeterminada; cuando se activa, incluye extractos de mensajes que pueden contener datos sensibles.

Ejecución del contrato (art. 6.1.b)

Desactivación de una cuenta: medidas adoptadas en caso de abuso o fraude acreditados.

Interés legítimo en prevenir el fraude y los abusos (art. 6.1.f)

Herramientas gratuitas de prueba de seguridad: cuando se solicita una prueba (por ejemplo « WP2SHELL ») sobre un dominio que usted supervisa, verificación de la propiedad del dominio (token DNS TXT), recogida de su consentimiento explícito (marca de tiempo y dirección IP conservadas como prueba) y diagnóstico no intrusivo del dominio (no se explota ninguna vulnerabilidad).

Ejecución de un servicio solicitado (art. 6.1.b), consentimiento explícito a la prueba (art. 6.1.a) e interés legítimo en la seguridad (art. 6.1.f)

Prospección saliente, por dos canales distintos. (1) MENSAJE DE LINKEDIN (InMail): identificación de responsables de informática o seguridad cuya organización presenta una debilidad DMARC observable públicamente. (2) CORREO ELECTRÓNICO: cuando un dominio se ha analizado en el analizador público de este sitio sin que después se cree una cuenta, se busca una dirección de contacto entre las que el propio dominio publica: el archivo «security.txt» previsto a tal efecto, la dirección declarada en su zona DNS para recibir los informes DMARC, o una dirección de rol normalizada del tipo security@ o postmaster@. Estas direcciones nunca se solicitan a la persona y suelen ser buzones funcionales, no nominativos; la dirección utilizada se guarda en la ficha del prospecto junto con su procedencia, para que el mensaje pueda indicar de dónde procede. Solo se envía a una dirección del propio dominio analizado, y cada envío incluye un enlace de baja que surte efecto con un solo clic. En ambos canales, los datos de contacto (nombre, cargo, perfil de LinkedIn, organización) proceden de LinkedIn y de fuentes profesionales públicas, no de la propia persona. El enlace incluido en el mensaje está personalizado: identifica a su destinatario. Su carga y, después, una señal enviada por el navegador tras un tiempo de lectura miden si el mensaje se ha abierto y luego leído; la primera medición también se activa con las comprobaciones de seguridad automáticas de los servicios de correo, por lo que por sí sola no prueba una lectura humana. La señal de lectura recoge además el testigo de sesión utilizado para la medición de audiencia del sitio y lo inscribe en la ficha del prospecto. A partir de ese momento, las páginas consultadas durante la sesión quedan vinculadas a la persona identificada: se registra la ruta de cada página — nunca el contenido de las páginas, ni los parámetros de URL, ni la dirección IP —, y la explotación interna deriva de ello el número de páginas vistas, la última página consultada y, en su caso, la existencia de un registro. Si se deja una dirección de correo en otro punto del sitio (análisis, solicitud de presupuesto, registro), se asocia a esa misma sesión y se muestra junto al nombre. La ficha del prospecto se borra en el plazo indicado abajo, o antes si se solicita; las páginas consultadas, en cambio, no se borran al mismo tiempo: siguen el plazo propio de la medición de audiencia (180 días), y una dirección de correo eventualmente dejada sigue el suyo.

Interés legítimo en ofrecer un servicio de seguridad a organizaciones expuestas (art. 6.1.f): se contacta a la persona en su condición profesional, a propósito de una debilidad constatada en los registros DNS públicos del dominio de su organización. El canal de LinkedIn no recoge ninguna dirección de correo: el mensaje se envía desde LinkedIn. El canal de correo electrónico, en cambio, sí guarda la dirección publicada por el dominio junto con su procedencia: esa dirección es lo que hace posible el envío, y registrar su procedencia es lo que permite al mensaje indicar de dónde se ha obtenido. Una dirección dejada en otro punto del sitio (análisis, solicitud de presupuesto, registro) corresponde al tratamiento de generación de leads descrito más arriba; no se conserva aquí, pero se asocia a la ficha para su visualización, según lo indicado. Es posible oponerse en cualquier momento y sin justificación: respondiendo al mensaje, escribiendo a la dirección indicada abajo o, en el caso del correo electrónico, mediante el enlace de baja que incluye cada envío, que abre una página de confirmación donde un segundo clic registra la oposición. Los datos de contacto (nombre, cargo, perfil de LinkedIn, dirección de correo) se borran entonces y no se envía ningún mensaje nuevo. Subsisten dos rastros, con la única finalidad de garantizar que la oposición siga surtiendo efecto: la línea de dominio, que impide que la organización vuelva a seleccionarse en un sorteo posterior, y una huella de la dirección (hash SHA-256) inscrita en una lista de oposición. Esa huella se conserva sin límite de tiempo, de forma deliberada: dado que la ficha del prospecto se borra al cabo del plazo indicado abajo, una oposición que desapareciera con ella volvería a hacer contactable a la persona, de modo que borrar sus datos produciría lo contrario de lo que ha pedido. Esa huella sigue siendo un dato personal, seudonimizado y no anónimo: la dirección nunca figura en claro y la lista no puede leerse como un fichero de contactos, pero quien dispusiera de la base podría comprobar si una dirección concreta, en particular una dirección de función habitual, está inscrita.

Opiniones de clientes: publicación, en la página de precios, de una opinión redactada por un administrador de una organización cliente (nota, texto, nombre mostrado elegido por el autor, cargo opcional, idioma), tras su revisión. La opinión puede retirarse en cualquier momento desde el área de cliente.

Consentimiento (art. 6.1.a), recogido mediante una casilla al enviar; revocable en cualquier momento

Destinatarios y transferencias fuera de la Unión Europea

La aplicación está alojada por la propia HUCENCY, en sus propios servidores en Francia (centro de datos de Lille): este alojamiento no implica a ningún tercero. Sus datos nunca se venden. Son accesibles a nuestros proveedores técnicos —encargados del tratamiento en el sentido del artículo 28 del RGPD, que actúan únicamente siguiendo nuestras instrucciones y están vinculados por un contrato de protección de datos— y, únicamente para los servicios sujetos a su consentimiento, a corresponsables del tratamiento en el sentido del artículo 26:

Copias de seguridad externas

Scaleway (Francia, región fr-par): almacenamiento cifrado de las copias de seguridad externas. Por este motivo no se transfiere ningún dato fuera de la Unión Europea.

Pago

Stripe (Stripe Payments Europe, Irlanda): cobro y cálculo del IVA. No conservamos ningún dato de tarjeta bancaria.

Correos transaccionales

Microsoft: entrega de los correos del servicio.

Inicio de sesión con una cuenta de terceros (SSO)

Microsoft y Google: únicamente si usted decide iniciar sesión con una de estas cuentas.

Asistente de IA

Anthropic: tratamiento de las consultas dirigidas al asistente « Thomas ». Los datos transmitidos se minimizan (sin dirección de correo, sin contenido de mensajes y sin informe bruto) y no se utilizan para entrenar los modelos.

Medición de audiencia (con consentimiento)

Google Ireland Limited: Google Tag Manager y Google Analytics 4, solo si acepta la medición de audiencia. Encargado del tratamiento (condiciones de tratamiento de datos de Google Ads).

Publicidad (con consentimiento)

LinkedIn Ireland Unlimited Company: LinkedIn Insight Tag, solo si acepta la publicidad. LinkedIn es corresponsable del tratamiento (artículo 26) de los datos recogidos por esta etiqueta.

Determinados tratamientos pueden implicar una transferencia fuera de la Unión Europea: las consultas al asistente de IA (Anthropic, Estados Unidos) y, según la configuración de su correo, los correos transaccionales (Microsoft), amparados por las cláusulas contractuales tipo de la Comisión Europea; así como, si ha dado su consentimiento, la medición de audiencia y la publicidad (Google y LinkedIn, Estados Unidos), amparadas por el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework) y las cláusulas contractuales tipo. Todos los demás tratamientos tienen lugar dentro de la Unión Europea.

Plazos de conservación

Conservamos sus datos únicamente durante el tiempo estrictamente necesario para cada finalidad:

Cuenta de cliente

Hasta la supresión de la cuenta, posible en cualquier momento desde sus ajustes.

Informes DMARC (RUA)

El informe bruto se elimina en cuanto se procesa; el detalle agregado se conserva según su plan: 30 días (Free), 90 días (Starter), 180 días (Pro), 365 días (Business), 730 días (Enterprise). Los agregados mensuales se conservan de forma anonimizada.

Informes forenses (RUF)

30 días, cuando la recogida está activada.

Registro de auditoría y seguridad

365 días para los eventos de seguridad, 90 días para las consultas y 180 días para las demás acciones.

Prospectos

730 días; duración de vida de la cuenta si el prospecto se convierte en cliente.

Análisis públicos (sin cuenta)

90 días.

Conversaciones del chat público (sin cuenta)

30 días.

Estadísticas de audiencia

180 días.

Registros no verificados

7 días.

Copias de seguridad cifradas

30 días.

Resultados de las pruebas de herramientas gratuitas (WP2SHELL)

365 días (instantánea de seguridad); se eliminan con la cuenta.

Justificante del consentimiento a una prueba de seguridad

Duración de la relación contractual (valor probatorio); se suprime al eliminar la cuenta.

Facturas

10 años (obligación legal contable).

Prospectos de la prospección saliente (LinkedIn o correo electrónico): nombre, cargo, perfil de LinkedIn, dirección de contacto publicada por el dominio y su procedencia, medición de apertura del enlace y testigo de sesión asociado

1095 días (3 años) desde el último contacto, después borrado automático. Las páginas consultadas asociadas a ese testigo corresponden a la medición de audiencia y siguen su plazo propio (180 días).

Lista de oposición a la prospección: huella (hash SHA-256) de la dirección y de su dominio — nunca la dirección en claro; dato personal seudonimizado

Se conserva sin límite de tiempo, y es deliberado: dado que la ficha del prospecto se borra a los 1095 días, una oposición que desapareciera al mismo tiempo volvería a hacer contactable a la persona. Esta huella garantiza lo contrario. Nunca contiene la dirección en claro, pero sigue siendo un dato personal seudonimizado: quien dispusiera de la base podría comprobar si una dirección concreta está inscrita.

Opinión de cliente (nota, texto, nombre mostrado, cargo, idioma)

Mientras la opinión esté publicada o pendiente de revisión; una opinión retirada o rechazada deja de mostrarse de inmediato y se elimina con la cuenta de la organización.

Sus derechos

De conformidad con el RGPD, usted dispone de los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad sobre sus datos personales. Cuando un tratamiento se base en su consentimiento, podrá retirarlo en cualquier momento, sin que ello afecte a los tratamientos ya realizados.

Si dispone de una cuenta, puede ejercer la mayoría de estos derechos directamente desde sus ajustes (consulta, exportación de sus datos, supresión de la cuenta). Para cualquier otra solicitud, utilice la dirección de contacto indicada más abajo; respondemos en el plazo de un mes.

También puede presentar una reclamación ante la CNIL (la autoridad francesa de protección de datos), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, Francia, www.cnil.fr.

No adoptamos ninguna decisión automatizada que produzca efectos jurídicos sobre usted. El asistente « Thomas » formula recomendaciones, pero las decisiones siguen siendo suyas.

Cookies

El sitio utiliza cookies estrictamente necesarias para su funcionamiento (sesión, autenticación, doble autenticación, inicio de sesión con una cuenta de terceros, memorización de un dispositivo de confianza durante 24 h a petición suya, preferencia de idioma, memorización de su elección en materia de cookies). Estas no requieren consentimiento. La medición de audiencia interna del sitio (páginas vistas, país derivado, tipo de dispositivo) funciona sin ninguna cookie.

Con su consentimiento —y solo con él—, el sitio carga el gestor de etiquetas Google Tag Manager, que puede activar dos servicios de terceros, cada uno sujeto a una elección distinta: Google Analytics 4 (medición de audiencia; cookies «_ga» y «_ga_*», conservadas 13 meses como máximo) y el LinkedIn Insight Tag (publicidad y medición de campañas; cookies de LinkedIn como «li_fat_id», «lidc» o «bcookie»). Mientras no haya aceptado nada, no se envía ninguna solicitud a Google ni a LinkedIn. En cuanto se acepta una finalidad, el gestor de etiquetas se carga desde los servidores de Google, que reciben entonces su dirección IP, la dirección de la página consultada y las características técnicas de su navegador. Su elección (aceptación o rechazo) se memoriza durante 6 meses en una cookie «dmarc_consent»; puede modificarla en cualquier momento mediante «Gestionar cookies», al pie de la página. Estos servicios solo se ofrecen en las páginas públicas del sitio, y nunca a un visitante con la sesión iniciada: no se cargan ni en el área de cliente, ni en las páginas de registro e inicio de sesión, ni en una página pública abierta mientras haya una sesión en curso en su cuenta. Única excepción: una página pública ya abierta antes de iniciar sesión los conserva hasta que se recarga. Con la sesión iniciada, puede retirar su consentimiento desde el pie de página.

Gestionar cookies

Conversaciones con Thomas (análisis público)

Si habla con Thomas sin cuenta, desde el análisis público, conservamos el dominio analizado, la conversación y, si responde a la pregunta de bienvenida de Thomas, cómo nos conoció, durante 30 días; después se eliminan automáticamente. Un miembro del equipo puede releerlos para mejorar Thomas. Ni su correo electrónico ni su dirección IP se registran con estos intercambios. Sin embargo, no son anónimos: la conversación se conserva tal como la escribió, incluidos los datos personales que decida incluir en ella, y si después deja su correo electrónico o crea una cuenta en la misma sesión de navegación, puede vincularse a su ficha de contacto o a su cuenta durante esos 30 días; el origen que indicó se traslada entonces a su ficha de contacto. Por tanto, puede ejercer sobre estos intercambios sus derechos de acceso, rectificación, supresión, limitación y oposición: escríbanos a la dirección indicada más abajo, indicando el correo electrónico que dejó, si es el caso, o en su defecto el dominio y la fecha.

Modificaciones de la política

Esta política puede evolucionar, en particular para reflejar cambios técnicos o normativos. La fecha de la última actualización figura al principio de la página.

Contacto

Para cualquier consulta sobre sus datos personales o para ejercer sus derechos, contacte con nuestro responsable en la dirección: dpo@hucency.com