Política de privacidad

Nos tomamos en serio la protección de sus datos personales, precisamente porque nuestro propio servicio trabaja con hallazgos e indicios de filtraciones sensibles. Esta declaración le informa de qué datos tratamos, con qué finalidad, sobre qué base jurídica y durante cuánto tiempo.

1. Responsable del tratamiento

Ayzix IT Solution, Sebastian Scherf
Weyroth 96, 55543 Bad Kreuznach, Deutschland
Correo electrónico: kontakt@zentrale-datenschutzstelle.de

La «Zentrale Datenschutzstelle» es un servicio privado y no es una autoridad pública ni un organismo oficial.

2. Alojamiento y ubicación de los servidores

Nuestros sistemas se operan en servidores de Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, en Alemania. No se realiza ningún tratamiento fuera de la Unión Europea, salvo que se indique expresamente en esta declaración (procesamiento de pagos, base de datos de filtraciones). Con el proveedor de alojamiento existe un contrato de encargo de tratamiento conforme al art. 28 RGPD. La base jurídica es el art. 6, apdo. 1, letra f, RGPD (interés legítimo en un funcionamiento seguro y eficiente) y el art. 6, apdo. 1, letra b, RGPD frente a los clientes.

3. Registros del servidor

Al acceder a nuestro sitio web, el servidor web trata automáticamente: dirección IP, fecha y hora, URL visitada, referente, tipo de navegador y sistema operativo, volumen de datos transferido y código de estado. Estos registros sirven para la seguridad, el análisis de errores y la defensa frente a ataques (art. 6, apdo. 1, letra f, RGPD) y se eliminan a más tardar tras 14 días, salvo que sean necesarios para esclarecer un incidente de seguridad. Los registros de la aplicación no contienen contraseñas, contenidos de documentos ni resultados de filtraciones.

4. Cookies y estadísticas de visitas

Las cookies técnicamente necesarias las utilizamos sin consentimiento, porque el Área de cliente no funciona sin ellas (§ 25, apdo. 2, n.º 2, TDDDG; art. 6, apdo. 1, letras b y f, RGPD). Todo lo demás, las estadísticas de visitas descritas más abajo, solo lo utilizamos si usted lo acepta expresamente en su primera visita.

Selección de idioma y país

En su primera visita determinamos su país a partir de su dirección IP para mostrarle el sitio web en el idioma adecuado. La asignación se realiza exclusivamente en nuestro servidor mediante una base de datos de países almacenada localmente (DB-IP.com, licencia CC BY 4.0); la dirección IP no se guarda para este fin ni se transmite a terceros. Su elección en el menú de idiomas se guarda durante un año en las cookies zds_lang y zds_land (técnicamente necesarias, no se requiere consentimiento). La base jurídica es el art. 6, apdo. 1, letra f del RGPD.

Estadísticas de visitas con Microsoft Clarity (solo con consentimiento)

Para entender cómo se utiliza nuestro sitio web y hacerlo más comprensible, utilizamos con su consentimiento el servicio Microsoft Clarity de Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublín 18, Irlanda. Clarity registra cómo interactúa con nuestras páginas públicas: páginas visitadas y su dirección, tiempo de permanencia, clics, movimientos del ratón y comportamiento de desplazamiento, tipo de dispositivo, navegador, sistema operativo, tamaño de pantalla, ubicación aproximada (derivada de la dirección IP) y un identificador seudónimo. A partir de estos datos se elaboran estadísticas de uso, mapas de calor y reproducciones de sesiones. Las entradas en los campos de formulario se anonimizan antes de la transmisión.

Clarity se carga exclusivamente en las páginas públicas. No se registran el Área de cliente, la Administración, la Comprobación de contraseña, las páginas con enlaces de confirmación, invitación o restablecimiento, el inicio de sesión de dos factores ni las páginas de resultados de la Comprobación de número. Para ello, Clarity establece las cookies _clck (identificador, hasta 1 año) y _clsk (agrupación de las páginas vistas de una sesión, 1 día); Microsoft puede establecer además las cookies CLID, MUID, ANONCHK, MR y SM utilizar.

La base jurídica es su consentimiento (§ 25, apdo. 1, TDDDG; art. 6, apdo. 1, letra a, RGPD). Microsoft puede transferir datos a EE. UU.; Microsoft Corporation está certificada conforme al Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación, art. 45 RGPD) y, complementariamente, se aplican las cláusulas contractuales tipo de la UE. Microsoft trata los datos también para fines propios, como la mejora de sus servicios; más información: privacy.microsoft.com y Lista de cookies de Clarity. Clarity elimina los datos a más tardar tras 13 meses.

Revocación: Puede revocar su consentimiento en cualquier momento con efectos para el futuro haciendo clic en el pie de página en «Configuración de cookies» y elija «Solo las necesarias». Clarity dejará de cargarse y sus cookies se eliminarán. El rechazo no tiene ningún inconveniente para el uso de nuestro sitio web.

5. Registro y cuenta de cliente

Para utilizar el Área de cliente se requiere una cuenta. Tratamos el tipo de cuenta (particular/empresa), nombre y apellidos, dirección de correo electrónico, una contraseña (exclusivamente como hash Argon2id, nunca en texto claro), en el caso de empresas además el nombre de la empresa, el dominio, el rol y opcionalmente el NIF-IVA, así como la fecha, hora y dirección IP de la aceptación de las CGC y la política de privacidad. La dirección de correo electrónico se confirma mediante un enlace de un solo uso y validez limitada. Opcionalmente puede activar la autenticación de dos factores (TOTP); el secreto correspondiente se almacena cifrado. Base jurídica: art. 6, apdo. 1, letra b, RGPD (contrato o medidas precontractuales). Los intentos de inicio de sesión fallidos se registran durante 30 días para proteger frente a abusos (art. 6, apdo. 1, letra f, RGPD).

6. Datos del encargo: hallazgos, expedientes, objetos de supervisión

Para prestar nuestro servicio, tratamos los datos que nos transmite para el encargo o que recopilamos en el marco de la investigación: nombres, direcciones de correo electrónico, dominios, números de teléfono y fax, direcciones postales, hallazgos (fuente, URL, categorías de datos, clasificación de riesgo, estado), expedientes (tipo, contraparte, comunicación, plazos, historial de eventos) y justificantes. Se aplica el principio de minimización de datos: solo recopilamos lo necesario para cada encargo. Base jurídica: art. 6, apdo. 1, letra b, RGPD. En la medida en que registre datos de terceros (p. ej., remitentes de faxes publicitarios), los tratamos sobre la base del art. 6, apdo. 1, letra f, RGPD para salvaguardar sus intereses legítimos en el ejercicio de sus derechos.

7. Comprobación de filtraciones (Have I Been Pwned)

Para comprobar direcciones de correo electrónico y dominios verificados frente a filtraciones de datos conocidas utilizamos la API del servicio «Have I Been Pwned» (Superlative Enterprises Pty Ltd, Australia). La consulta se realiza exclusivamente en el servidor mediante una clave de API propia; al servicio se transmite la dirección de correo electrónico o el dominio a comprobar. Los resultados (nombre de la filtración, fecha, clases de datos) se almacenan cifrados y solo se muestran al usuario autorizado y al gestor responsable. Las respuestas almacenadas temporalmente se eliminan a más tardar tras 7 días. Las comprobaciones de dominio requieren la prueba de titularidad del dominio. Base jurídica: art. 6, apdo. 1, letra b, RGPD; para las transferencias a terceros países nos basamos en las cláusulas contractuales tipo del proveedor (art. 46, apdo. 2, letra c, RGPD).

Comprobación de contraseña: La comprobación de una contraseña frente a la base de datos «Pwned Passwords» se realiza por completo en su navegador. Solo se envía un prefijo de cinco caracteres del hash SHA-1 a api.pwnedpasswords.com (k-anonimato); el cotejo se realiza localmente. No almacenamos ni registramos la contraseña, el hash completo, el prefijo, el resultado ni su dirección IP.

8. Procesamiento de pagos (Stripe)

Los paquetes de pago se facturan a través de Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublín, Irlanda. Al contratar, se le redirige a Stripe Checkout, donde introduce los datos de pago directamente en Stripe. No almacenamos datos de tarjetas de crédito ni de cuentas bancarias. A Stripe transmitimos la dirección de correo electrónico, el nombre o el nombre de la empresa, los identificadores internos de cliente, organización y paquete, así como la dirección de facturación y, en su caso, el NIF-IVA. De Stripe recibimos datos de estado y facturación (estado de la suscripción, número de factura, importe, estado del pago). Facturas, datos de pago, cambios de paquete y cancelación se gestionan en el Stripe Customer Portal. Base jurídica: art. 6, apdo. 1, letra b, RGPD y art. 6, apdo. 1, letra c, RGPD (conservación por obligaciones fiscales y mercantiles). Stripe puede transferir datos a terceros países y se basa para ello en las cláusulas contractuales tipo de la UE. Más información: stripe.com/de/privacy.

9. Subida de documentos, análisis antivirus y reconocimiento de texto

Puede subir justificantes (PDF, PNG, JPG, EML). Cada archivo se comprueba en el servidor para verificar su tipo real, se analiza localmente con ClamAV en busca de software malicioso antes de su aprobación y se guarda en un almacén privado fuera del directorio web. El acceso solo es posible tras la verificación de permisos mediante enlaces firmados de corta duración. Los faxes publicitarios se procesan localmente con Tesseract (reconocimiento de texto) para capturar remitente, número de fax, fecha y referencia; el texto reconocido se almacena cifrado. No se utilizan servicios externos de OCR ni en la nube. Base jurídica: art. 6, apdo. 1, letra b, RGPD.

10. Solicitud de acceso a datos con poder de representación: prueba de identidad y de representación

Si así lo desea, no solo ejercemos sus derechos como interesado en calidad de mensajero, sino que actuamos nosotros mismos, con un poder de representación otorgado por usted, ante agencias de información crediticia, comerciantes de direcciones y bases de datos de empresas. Para ello tratamos adicionalmente:

• Poder de representación: Su declaración, su nombre, lugar y fecha, su firma trazada en el navegador y, como prueba de la firma, la fecha y hora, la dirección IP y el identificador del navegador. Con ello generamos un documento en PDF y almacenamos su suma de verificación.
• Prueba de identidad: la copia de su documento de identidad que usted ha subido. Las entidades consultadas pueden exigir una prueba en caso de dudas fundadas sobre su identidad (art. 12, apdo. 6, RGPD). Le rogamos expresamente que tache todos los datos no necesarios; solo se requieren nombre, fecha de nacimiento, dirección y validez.
• En el caso de empresas, además: la prueba de su facultad de representación (p. ej., extracto del registro mercantil) y su función en la empresa.

El poder de representación y la prueba de identidad se transmiten exclusivamente a las entidades seleccionadas por usted y únicamente junto con la solicitud de acceso correspondiente. Cada copia transmitida lleva una marca visible con la finalidad y el destinatario y queda así identificada como copia (§ 20, apdo. 2, de la ley alemana del documento de identidad). No se utiliza para otros fines.

Supresión: Eliminamos las pruebas de identidad y de representación en cuanto todas las entidades consultadas han respondido, a más tardar 90 días después del inicio de la ronda y de inmediato en caso de revocación; el archivo se elimina definitivamente en un plazo de 7 días. Conservamos el documento del poder de representación como prueba de nuestro encargo.

Revocación: Puede revocar el poder de representación en cualquier momento sin indicar motivos, en el Área de cliente o de manera informal por correo electrónico (§ 168 BGB). En ese caso detenemos de inmediato los escritos aún no enviados.

Base jurídica: art. 6, apdo. 1, letra b, RGPD (ejecución del contrato celebrado con usted) y art. 6, apdo. 1, letra c, RGPD, en la medida en que la entidad consultada exija la prueba de identidad. La presentación del documento de identidad es voluntaria; sin él, no obstante, no podemos encargarnos del envío en su nombre; en ese caso puede enviar los escritos usted mismo.

11. Envío de correos electrónicos

Los correos transaccionales (enlaces de confirmación, restablecimiento de contraseña, recordatorios de plazos, notificaciones de expedientes, avisos de factura) y las solicitudes salientes a contrapartes se envían a través de un servidor SMTP de un proveedor de alojamiento alemán con el que existe un contrato de encargo de tratamiento. Registramos destinatario, asunto, fecha y hora y estado de entrega, no el contenido. Base jurídica: art. 6, apdo. 1, letra b, RGPD.

12. Notificaciones internas

Para reaccionar rápidamente a nuevos registros, pagos o solicitudes de contacto, nuestro equipo recibe avisos internos a través del servicio de mensajería Telegram. Estos avisos contienen exclusivamente tipos de evento y, en su caso, el nombre de una organización; no contienen hallazgos, resultados de filtraciones, documentos ni datos de contacto de particulares.

13. Formulario de contacto y contacto por correo electrónico

Si nos escribe a través del formulario de contacto o por correo electrónico, tratamos sus datos (nombre, dirección de correo electrónico, asunto, mensaje, dirección IP, fecha y hora) para gestionar la consulta. Base jurídica: art. 6, apdo. 1, letra b, RGPD o art. 6, apdo. 1, letra f, RGPD. Las consultas se eliminan una vez finalizada su tramitación, a más tardar tras 12 meses, salvo que existan obligaciones legales de conservación que lo impidan.

14. Historial de eventos y registro de auditoría

Las acciones relevantes para la seguridad (inicios de sesión, cambios de estado, cambios de permisos, descargas, exportaciones, acciones administrativas) se registran en un protocolo inalterable y protegido contra manipulaciones, con fecha y hora, persona actuante, registro afectado y dirección IP. Esto sirve para la trazabilidad de sus expedientes, la seguridad y el cumplimiento de nuestra obligación de rendición de cuentas (art. 5, apdo. 2, y art. 32 RGPD; art. 6, apdo. 1, letras c y f, RGPD).

15. Destinatarios y encargo de tratamiento

Los destinatarios de datos personales son exclusivamente: nuestro proveedor de alojamiento (Hetzner), nuestro proveedor de correo electrónico, Stripe (procesamiento de pagos), Have I Been Pwned (cotejo de filtraciones), Microsoft (estadísticas de visitas, solo con consentimiento) y, en el marco de los expedientes que usted nos encargue, las contrapartes correspondientes (p. ej., intermediarios de datos, operadores de directorios, anunciantes) a las que dirigimos en su nombre solicitudes de acceso, oposición o supresión. Con los proveedores de servicios existen contratos de encargo de tratamiento conforme al art. 28 RGPD. No se realiza ninguna cesión con fines publicitarios.

16. Plazo de conservación y supresión

• Datos de la cuenta: hasta la eliminación de la cuenta; después, 30 días de carencia y, a continuación, eliminación definitiva.
• Expedientes, hallazgos y justificantes: hasta 3 años después del cierre del expediente, después eliminación automatizada mediante tareas de eliminación programadas; antes si así lo desea.
• Datos de facturación y pago: 10 años conforme al § 147 AO y al § 257 HGB.
• Estado del consentimiento (zds_consent): 6 meses. Datos estadísticos en Microsoft Clarity: 13 meses como máximo.
• Respuestas de filtraciones almacenadas temporalmente: 7 días. Intentos de inicio de sesión fallidos: 30 días. Registros del servidor: 14 días.
• Documentos eliminados por usted: 30 días de carencia, después eliminación definitiva.
• Pruebas de identidad y de representación de la Solicitud de acceso a datos: hasta el cierre de la ronda, 90 días como máximo, después 7 días de carencia. Documentos de poder de representación: 3 años como prueba del encargo.

17. Seguridad

Aplicamos medidas técnicas y organizativas conforme al art. 32 RGPD: cifrado en tránsito (TLS, HSTS), cifrado de campos especialmente sensibles (secretos de dos factores, resultados de filtraciones, textos OCR) con AES-256-GCM, hashes de contraseña Argon2id, sesiones en el servidor, protección CSRF, Content Security Policy, limitación de tasa, servicios del sistema reforzados, estricta separación de clientes, copias de seguridad diarias cifradas y pruebas de restauración periódicas. Debido a la especial sensibilidad de los datos de resultados y filtraciones, antes de iniciar la actividad se realizó una evaluación de impacto relativa a la protección de datos conforme al art. 35 RGPD.

18. Sus derechos

Tiene derecho de acceso (art. 15 RGPD), rectificación (art. 16), supresión (art. 17), limitación del tratamiento (art. 18), portabilidad de los datos (art. 20) y oposición a los tratamientos basados en el art. 6, apdo. 1, letra f, RGPD (art. 21). Puede revocar en cualquier momento los consentimientos otorgados con efectos para el futuro. Para ello, diríjase a kontakt@zentrale-datenschutzstelle.de. Además, tiene derecho a presentar una reclamación ante una autoridad de control en materia de protección de datos (art. 77 RGPD), en particular ante el comisionado de protección de datos del estado federado competente para su lugar de residencia o para nuestra sede.

19. Ausencia de decisiones automatizadas

La clasificación de riesgo de hallazgos e indicios de filtraciones sirve exclusivamente para su información y priorización. No se adopta ninguna decisión automatizada con efectos jurídicos en el sentido del art. 22 RGPD.

20. Modificaciones

Adaptamos esta política de privacidad cuando cambian nuestros servicios o la situación jurídica. La versión vigente en cada momento está disponible en https://zentrale-datenschutzstelle.de/datenschutz.

Versión: 12.09.2026