Política de privacidad

Esta página es una traducción de cortesía del texto jurídico en inglés. En caso de discrepancia entre las versiones, prevalece la versión en inglés.

1. Responsable del tratamiento

El responsable del tratamiento es Perspective Analytics SAS, 2 rue du Général de Gaulle, 44290 Guémené-Penfao, France. Para consultas sobre privacidad, escriba a .

Delegado de protección de datos. Perspective Analytics SAS no ha designado un delegado de protección de datos, ya que no se cumple ninguno de los criterios del artículo 37 del RGPD. El contacto de privacidad indicado arriba atiende todas las consultas sobre protección de datos, incluidas las solicitudes relativas a los artículos 15 a 22 del RGPD.

2. Datos que recogemos

Datos de la cuenta

Durante el registro recogemos una dirección de correo electrónico, la verificamos mediante un código de un solo uso y recogemos un nombre de organización. La contraseña es opcional; si se configura, se almacena su hash con Argon2id. El perfil incluye un nombre, cuando se facilita, y un rol. Si se activa MFA, su secreto se cifra con AES-256-GCM. Los datos de facturación y los identificadores profesionales o de IVA aplicables se recogen cuando son necesarios para una suscripción de pago.

Datos de certificados e infraestructura

Almacenamos metadatos de certificados TLS descubiertos mediante enumeración pública, análisis de infraestructura local o carga manual. Incluyen nombres de sujetos, datos del emisor, fechas de validez, tipos de claves, versiones del protocolo TLS y suites de cifrado. No almacenamos claves privadas.

Datos de uso

Registramos actividad de la plataforma, como accesos, cambios de configuración y eventos de entrega de alertas. Activity se conserva por defecto durante 365 días en los planes publicados; una política de organización acordada por separado puede modificar ese plazo. Es un registro de actividad, no un historial completo de escaneos en bruto ni una garantía de que todos los eventos queden registrados.

Datos del paso al registro

Cuando introduce un dominio en nocert.io, el mecanismo habitual del navegador lo transmite a la aplicación nocert mediante un fragmento de URL. La aplicación procesa ese fragmento, que no forma parte de la URL enviada en la solicitud HTTP. Sin JavaScript, el enlace alternativo abre el registro genérico sin transmitir el dominio. Una vez cargada, la aplicación valida el dominio mediante una solicitud JSON limitada y del mismo origen, utilizada para contabilizar los pasos al registro. La tabla diaria de adquisición solo registra un total global, sin identificadores de visitante, dispositivo, sesión, cuenta u organización, direcciones IP ni valores de user-agent. Un limitador de solicitudes independiente, mantenido brevemente en memoria por dirección IP, protege frente al abuso el endpoint de contabilización no autenticado. Si se activa la función independiente de alertas de dominio, el dominio canónico también puede enviarse al canal operativo privado de nocert alojado en Discord como dato no verificado proporcionado por el usuario al pasar al registro, salvo que su navegador envíe la señal Global Privacy Control. El dominio no se almacena en la tabla diaria de adquisición. Esta función está desactivada por defecto y no se activará hasta que haya transcurrido el preaviso de la sección 11 y esté operativo el mecanismo de eliminación de mensajes descrito más adelante.

Correos opcionales de configuración y resúmenes mensuales

Cuando estas opciones estén disponibles en su espacio de trabajo, los propietarios pueden suscribirse por separado a consejos de configuración adaptados a su espacio y a un resumen mensual del inventario. Ambas opciones están desactivadas por defecto. Utilizamos el correo de la cuenta, el idioma y la zona horaria elegidos para los mensajes y el estado actual del espacio para enviar información pertinente. La base jurídica de estos mensajes opcionales es su consentimiento (artículo 6(1)(a) del RGPD). Conservamos sus elecciones, las fechas de consentimiento y las versiones del texto junto con su cuenta. La cola de envío almacena identificadores de organización y usuario, categoría del mensaje, fechas de programación e intentos, estado y códigos de error limitados durante un máximo de 90 días; no almacena cuerpos de mensajes ni duplica las direcciones de los destinatarios. Al eliminar la cuenta se eliminan estos registros. Los correos opcionales incluyen un enlace firmado para darse de baja. La baja detiene los consejos y resúmenes; un mensaje ya aceptado por el servidor de correo no puede retirarse. También puede cambiar estas opciones en Settings → Profile. Los códigos de acceso, las alertas de supervisión solicitadas y los avisos objetivos necesarios para gestionar la cuenta, incluidos el fin de la prueba y el paso a Free, continúan. No añadimos píxeles de seguimiento ni redirecciones para medir clics a estos mensajes.

3. Base jurídica del tratamiento

Ejecución del contrato (artículo 6(1)(b) del RGPD): tratamiento necesario para prestar el Servicio.
Interés legítimo (artículo 6(1)(f) del RGPD): supervisión de seguridad, prevención del fraude, mejora del producto e información interna limitada sobre los pasos al registro solicitados.
Medidas precontractuales (artículo 6(1)(b) del RGPD): apertura del proceso de registro solicitado después de introducir un dominio.
Obligación legal (artículo 6(1)(c) del RGPD): obligaciones fiscales y contables.

4. Comunicación de datos

Compartimos Datos Personales del Cliente con las siguientes categorías de encargados del tratamiento. La lista completa y versionada conforme al Acuerdo de Tratamiento de Datos está disponible en /es/legal/dpa/subprocessors.

Alojamiento: OVHcloud SAS (France), para la infraestructura alojada por nocert en Francia y Alemania.
Distribución perimetral: Cloudflare, Inc. / Cloudflare Ireland Limited, para CDN, WAF y protección contra DDoS. Cloudflare trata solicitudes y metadatos técnicos limitados, pero no se utiliza como sistema principal de almacenamiento de los datos de la aplicación.
Pagos: Stripe Payments Europe Ltd. (Ireland) y Stripe, Inc. (USA), para procesar pagos.
Facturación electrónica: Tiime SAS (France), certificada como Plateforme Agréée francesa de facturación electrónica conforme al artículo 289 bis CGI.
Correo electrónico: Google LLC / Google Ireland Limited (Google Workspace), para correspondencia profesional y de asistencia y para el envío SMTP actual de la aplicación, incluidos códigos de acceso, alertas de supervisión, avisos necesarios de la cuenta y correos opcionales. Se tratan los destinatarios y el contenido para entregar los mensajes; las alertas pueden incluir detalles de la infraestructura del cliente.
Proveedor de correo adicional: Amazon Web Services EMEA SARL / Amazon Web Services, Inc. (Amazon SES). SES puede utilizarse para envíos transaccionales cuando se active, con sujeción a los requisitos del DPA sobre cambios de proveedor y transferencias. Actualmente no es el remitente SMTP predeterminado.

Por separado, cuando nocert actúa como responsable del tratamiento para la gestión de cuentas y las operaciones precontractuales de adquisición, puede comunicar datos limitados a Discord Netherlands B.V. / Discord Inc. (EEE/EE. UU.) como destinatario de esos tratamientos y proveedor de mensajería operativa privada. Los mensajes pueden contener datos de contacto de cuentas y de organizaciones; información sobre suscripciones, facturación, cuotas y otras operaciones del Servicio realizadas como responsable del tratamiento; volúmenes globales de adquisición sin identificadores; o, solo si se activa la función independiente correspondiente, el dominio introducido al pasar al registro. La notificación de ese paso no contiene direcciones de correo electrónico, cookies, identificadores de sesión, direcciones IP ni valores de user-agent de la solicitud. Las alertas generales de funcionamiento del Servicio excluyen Datos del Cliente como dominios supervisados, detalles de certificados, nombres de host o etiquetas de Sentinel y metadatos de infraestructura del cliente. Discord no se considera un subencargado que trate Datos Personales del Cliente conforme al DPA y, por ello, no figura en el registro de subencargados enlazado.

No vendemos datos personales ni los utilizamos para publicidad de terceros o para entrenar, ajustar o evaluar modelos de IA. Con su consentimiento separado, utilizamos el estado actual de su espacio para seleccionar un mensaje de orientación pertinente. Esta selección no toma decisiones que produzcan efectos jurídicos o de importancia similar sobre usted.

5. Transferencias internacionales

Los datos principales de la aplicación alojada se mantienen en OVHcloud, en Francia y Alemania. Los proveedores de correo, red y pagos pueden tratar datos fuera del EEE; alojar la aplicación principal en la UE no significa que todas las operaciones de tratamiento permanezcan en la UE. Las transferencias requieren una decisión de adecuación aplicable conforme al artículo 45 del RGPD, como la cobertura DPF para un destinatario actualmente certificado y un servicio cubierto, o una garantía del artículo 46, como CCT aplicables con la evaluación y las medidas complementarias necesarias. Estas alternativas se eligen según el destinatario, servicio y transferencia reales; no constituyen una certificación general de NoCert. El registro de proveedores describe sus funciones.

Discord puede tratar en Estados Unidos datos limitados de mensajes operativos correspondientes a las actividades de nocert como responsable del tratamiento. Para esta comunicación independiente, las garantías aplicables incluyen la participación de Discord en el Marco de Privacidad de Datos UE-EE. UU. y las cláusulas contractuales tipo descritas en su política de privacidad.

6. Conservación de datos

Datos de cuenta y del Cliente: finalizar únicamente una suscripción de pago mantiene la cuenta en Free y no inicia la supresión. Al terminar el Servicio alojado, la sección 16 de las Condiciones prevé sesenta días de recuperación, ampliados cuando sea necesario para preservar al menos treinta días tras la transición a otro proveedor. Después, los datos se eliminan de producción y las copias de seguridad caducan en treinta días. Una instrucción lícita de supresión anticipada se tramita sin dilación indebida, con sujeción a las obligaciones legales de conservación. Los datos autoalojados bajo el control exclusivo del Cliente siguen siendo su responsabilidad.
Cuentas de Prueba y del Plan Free: una cuenta que no pasa a un Plan de pago continúa en el Plan Free conforme a la sección 4 de las Condiciones del Servicio. La supervisión continúa dentro de las asignaciones del Plan Free y no se programa ninguna eliminación de datos. La eliminación se realiza a petición del titular de la cuenta o cuando finaliza el Servicio, conforme al régimen de la sección 16 de las Condiciones: eliminación de producción y, después, de las copias de seguridad en un plazo de 30 días.
Datos de certificados: se conservan mientras esté activo el objetivo de supervisión asociado; se eliminan al retirar el objetivo o al finalizar el Servicio, conforme al régimen anterior.
Registros de Activity: se conservan por defecto durante 365 días, con sujeción a una política de organización acordada por separado y a la eliminación de la cuenta. Los eventos de medición del producto y los registros de la cola de correos opcionales tienen sus propios límites de 90 días, descritos anteriormente. La conservación en infraestructura controlada exclusivamente por un Cliente autoalojado la gestiona dicho Cliente.
Documentación de facturación: se conserva durante 10 años conforme a la normativa contable francesa (artículo L123-22 del Code de commerce); los justificantes fiscales se conservan durante 6 años conforme al artículo L102 B del Livre des procédures fiscales.
Contadores agregados de adquisición: los totales globales diarios se conservan hasta 13 meses y después se eliminan automáticamente. No contienen dominios introducidos ni identificadores de visitantes.

nocert no conserva en la base de datos una copia del dominio introducido al pasar al registro. Cuando se envía una alerta de ese tipo, nocert solo almacena el identificador del mensaje de Discord, el identificador no secreto del webhook necesario para dirigir su eliminación y metadatos de su ciclo de vida. Programa la eliminación del mensaje visible a más tardar 30 días después del envío. Esta tabla no almacena tokens de webhook ni dominios. El acceso al canal está restringido a los operadores de nocert. Después de eliminarse el mensaje visible, Discord puede conservar copias residuales en sus copias de seguridad conforme a sus prácticas de conservación documentadas.

7. Sus derechos

Conforme al RGPD, tiene derecho a:

Acceder a sus datos personales (artículo 15)
Rectificar datos inexactos (artículo 16)
Solicitar la supresión (artículo 17)
Limitar el tratamiento (artículo 18)
La portabilidad de los datos (artículo 20)
Oponerse al tratamiento (artículo 21)

Ausencia de decisiones automatizadas. No adoptamos decisiones individuales automatizadas, incluida la elaboración de perfiles, en el sentido del artículo 22 del RGPD. Las puntuaciones de cumplimiento y las alertas generadas por el Servicio son informativas y no producen efectos jurídicos ni efectos de importancia similar sobre usted en el sentido de ese artículo.

Para ejercer estos derechos, escriba a . Responderemos en el plazo de un mes desde la recepción de la solicitud, conforme al artículo 12(3) del RGPD. También tiene derecho a presentar una reclamación ante la CNIL (www.cnil.fr).

Instrucciones para después del fallecimiento (residentes en Francia). Conforme al artículo 85 de la Loi Informatique et Libertés francesa, puede dar instrucciones sobre el destino de sus datos personales después de su fallecimiento. Puede enviárnoslas directamente a o registrarlas ante un tercero de confianza digital certificado por la CNIL.

8. Medidas de seguridad

Cifrado AES-256-GCM de campos sensibles en la capa de aplicación
TLS 1.2 como mínimo para las conexiones web/API de clientes y la API de Sentinel; preferencia por TLS 1.3 cuando sea compatible
Hash de contraseñas con Argon2id
Control de acceso basado en roles y autenticación mediante sesiones
Comunicaciones del agente protegidas mediante firmas HTTP conforme a la RFC 9421
WAF de Cloudflare y mitigación de DDoS en la red perimetral

Violaciones de seguridad de datos personales: cuando actuamos como responsables, documentamos las violaciones y notificamos a la autoridad competente sin dilación indebida y, cuando sea posible, en las 72 horas siguientes a tener constancia, salvo que sea improbable que supongan un riesgo para los derechos y libertades de las personas (artículo 33 del RGPD). Las violaciones de alto riesgo se comunican a los afectados sin dilación indebida, con las excepciones del artículo 34. Para los Datos Personales del Cliente tratados siguiendo instrucciones, el DPA exige avisar al Cliente sin dilación indebida y en un máximo de 48 horas; este máximo contractual no autoriza a esperar si es posible avisar antes.

9. Cookies

La aplicación utiliza cookies necesarias para la autenticación, con los atributos HttpOnly, Secure y SameSite=Strict. No utilizamos cookies publicitarias de terceros. Cuando la medición de visitas está disponible en nocert.io, solicitamos por separado su consentimiento antes de registrar un breve historial de navegación: páginas conocidas, idioma, acciones definidas, categorías de errores técnicos, país estimado y categoría de procedencia. Estos registros no incluyen datos introducidos en formularios, direcciones IP completas, parámetros ni fragmentos de URL. Un identificador aleatorio se guarda en su pestaña y se renueva tras 30 minutos de inactividad; una visita dura como máximo 24 horas. Conservamos los detalles en la base de datos activa durante 30 días, sin vincularlos a su cuenta. Las copias de seguridad siguen su propio ciclo de rotación. Al restaurar una copia, borramos los registros de visitas antes de volver a permitir su consulta. Su aceptación o rechazo tiene una validez de seis meses en este navegador. Puede cambiar su elección en «Medición de visitas», al pie de la página. Detener la medición también solicita el borrado de la visita en curso. Si no hay conexión, lo reintentamos cuando se restablezca o al cargar otra página en la misma pestaña. Conservamos una marca de borrado derivada mediante hash durante un máximo de 30 días para rechazar eventos retrasados. Global Privacy Control desactiva esta medición opcional. El rechazo no impide utilizar el sitio. Este tratamiento se basa en el consentimiento, conforme al artículo 6, apartado 1, letra a), del RGPD, y es independiente de los registros técnicos de solicitudes utilizados para la seguridad.

El contador de pasos al registro funciona en el servidor y solo registra datos agregados. No crea ni lee cookies, valores de almacenamiento local o de sesión ni identificadores de visitantes. Cuando Global Privacy Control está activado, el total agregado sigue registrándose, pero el dominio no se envía al canal operativo de Discord.

La plataforma utiliza Cloudflare para la distribución perimetral y la protección contra robots. Cloudflare puede establecer cookies técnicas estrictamente necesarias, en particular __cf_bm (gestión de robots, con una duración de hasta 30 minutos) y, cuando se presenta un desafío de seguridad, cf_clearance (resultado del desafío). Estas cookies se utilizan únicamente para distinguir a los visitantes legítimos de los robots y registrar el resultado de un desafío de seguridad. Conforme a las orientaciones de la CNIL, están exentas de consentimiento previo porque son estrictamente necesarias para prestar un servicio solicitado expresamente por el usuario.

10. Datos agregados anonimizados e información sobre amenazas

Podemos obtener estadísticas anonimizadas y agregadas de los Datos del Cliente recogidos mediante el Servicio, por ejemplo, distribución de suites de cifrado, tasas de adopción de protocolos TLS, preparación poscuántica por sectores o cuotas de mercado de autoridades de certificación. Antes de cualquier uso de este tipo, realizamos y documentamos una evaluación del riesgo de reidentificación siguiendo la metodología de la CNIL y del antiguo Grupo de Trabajo del Artículo 29: singularización, vinculabilidad e inferencia.

Los datos que todavía permitan identificar a una persona, incluso mediante una vinculación o inferencia razonable, no son anónimos. No se publican como estadísticas anónimas ni se consideran exentos del RGPD. Una finalidad independiente como responsable requiere una base jurídica documentada y la información exigida antes del tratamiento; publicar esta política no autoriza por sí solo la reutilización de Datos Personales del Cliente.

Finalidades: mejora del producto; publicación de información sectorial sobre amenazas e investigación sobre el ecosistema TLS.
Base jurídica: interés legítimo (artículo 6(1)(f) del RGPD), concretamente el interés legítimo de nocert y de la comunidad de seguridad en comprender el ecosistema TLS y mejorar el Servicio.
Destinatarios: equipos internos de nocert y lectores de los informes sobre amenazas que se publiquen.
Conservación: las estadísticas agregadas pueden conservarse indefinidamente, ya que dejan de identificar a personas.
Derecho de oposición: puede oponerse a este tratamiento en cualquier momento escribiendo a , conforme al artículo 21 del RGPD.

No utilizamos datos personales, ni en bruto ni agregados, para entrenar, ajustar o evaluar modelos de inteligencia artificial o aprendizaje automático.

11. Cambios en esta política

Podemos actualizar esta política periódicamente. Los cambios importantes se comunicarán por correo electrónico al menos 30 días antes de su entrada en vigor. La fecha «Última actualización» que figura al principio indica la revisión más reciente.