Política de privacidad

Quién es el responsable

Respecto a los datos de los visitantes de la web de un cliente, Bloqueo IA actúa como encargado del tratamiento y el cliente es el responsable; se rige por el contrato de encargo. Respecto a las cuentas del panel y la lista de espera, Bloqueo IA es el responsable.

Esta web

Esta web no usa cookies ni herramientas de analítica. El único dato que puedes dejarnos es tu correo de trabajo en la lista de espera, que usamos solo para avisarte cuando abramos.

Qué datos trata el servicio en la web de un cliente

El script que el cliente instala en su web envía un resumen de cómo se produce la entrada: tiempos, contadores, tipos de evento y longitudes. Nunca envía teclas, valores de campos ni coordenadas absolutas.

Al recibirlo, el servidor calcula derivaciones y descarta el original: la IP se guarda solo como HMAC con una sal que cambia cada día, de modo que no permite seguir a una misma IP entre días; el identificador de sesión, como HMAC; el User-Agent, reducido a familia y versión mayor; y la URL, solo la ruta, sin parámetros.

Si el cliente activa el escudo, se guardan contadores por clase de tráfico y, durante 7 días, la ruta, el resultado y el proveedor de red de cada decisión. Sin IP ni cabeceras.

Atribución al infractor (en desarrollo)

Es una función en desarrollo y opcional. Solo si el cliente la activa en su servidor, este envía el identificador opaco de una cuenta suya y, si quiere, su correo. Se guarda únicamente un HMAC por sitio de cada uno, nunca el valor en claro, con la misma retención que los eventos. No ejecuta ninguna acción sobre la cuenta y no identifica a una persona: la cuenta puede estar comprometida.

Cuentas del panel

Para los usuarios del panel se guardan el correo, el hash de la contraseña (argon2id) y el rol. Si usas el inicio de sesión corporativo de tu empresa, el proveedor de identidad de tu empresa nos da tu identidad y tus grupos para asignar el rol. El pago se gestiona con Stripe: guardamos solo su identificador de cliente, nunca datos de tarjeta.

Cuánto tiempo se guardan

Los eventos de veredicto y los enlaces con cuentas, 30 días por defecto (el cliente puede cambiarlo). Las decisiones del escudo, 7 días. Los agregados diarios no contienen datos por visitante. Las copias de seguridad guardan hasta 14 días, así que un dato borrado puede permanecer en una copia hasta ese plazo. El registro de cambios del panel no se purga de forma automática.

Con quién se comparten

Subencargados: Stripe (cobro) y, si el cliente lo activa, Upstash (Redis del escudo compartido, con el HMAC de la IP). Los datos se alojan en servidores de Hetzner.

Base legal

Para los visitantes de la web de un cliente, la base la fija el cliente como responsable; lo habitual es su interés legítimo en proteger su web. Para las cuentas del panel, la ejecución del contrato. Para la lista de espera, tu consentimiento.

Tus derechos

Puedes pedir acceso, rectificación, supresión, oposición, limitación y portabilidad de tus datos, y reclamar ante la autoridad de control. Como no se guardan datos que identifiquen a un visitante, no hay un procedimiento de borrado a petición del visitante.