Política de privacidad

1. Quién es el responsable de tus datos

Responsable

AI Services LLC (nombre comercial OpenWAF)

Dirección

99 Wall Street #2351, New York, NY 10005, EE. UU.

Teléfono

+1 646 980 6880

Correo electrónico

[email protected]

Sitio web

openwaf.dev

No hemos designado un delegado de protección de datos (DPD). Para cualquier pregunta sobre privacidad, escribe a [email protected].

2. Normativa aplicable

Tratamos los datos personales conforme al Reglamento General de Protección de Datos (Reglamento (UE) 2016/679, «RGPD»), la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) y la Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico (LSSI-CE).

3. Nuestros dos papeles

• Responsable. Decidimos cómo y para qué se tratan los datos personales de este sitio web, las solicitudes de acceso anticipado, las cuentas de clientes, el soporte y las denuncias de abuso y de seguridad. Esta política describe ese tratamiento.
• Encargado. Cuando un cliente pone sus sitios web detrás de OpenWAF, tratamos el tráfico de esos sitios y las direcciones de correo que el cliente autoriza en el control de acceso por cuenta del cliente y siguiendo sus instrucciones. El cliente es el responsable de esos datos y el tratamiento se rige por nuestro Contrato de encargo de tratamiento. Si visitas un sitio web protegido por OpenWAF, se aplica la política de privacidad de ese sitio.

4. Datos que tratamos

4.1. Visitas a este sitio web

Este sitio web no instala cookies ni usa analítica (consulta la Política de cookies). Cuando lo visitas, nuestros servidores y nuestro WAF registran datos de la petición: dirección IP, agente de usuario, URL solicitada y hora.

• Finalidad: proteger el sitio web y el servicio frente a ataques y abusos, y hacerlos funcionar.
• Base jurídica: nuestro interés legítimo en la seguridad de nuestros sistemas (art. 6.1.f RGPD).
• Conservación: los eventos de seguridad del WAF se conservan 30 días. Otros registros del servidor se conservan durante un periodo breve, el necesario para la seguridad y el funcionamiento.

4.2. Correos que nos envías

Cuando nos escribes (por ejemplo, para solicitar acceso anticipado, pedir soporte o denunciar un abuso o una vulnerabilidad), tratamos tu dirección de correo, tu nombre si nos lo das y el contenido de tu mensaje.

• Finalidad: responder y gestionar tu solicitud.
• Base jurídica: la aplicación, a petición tuya, de medidas precontractuales o la ejecución del contrato (art. 6.1.b RGPD); para las denuncias de abuso y de seguridad, nuestro interés legítimo en mantener seguro el servicio (art. 6.1.f RGPD).
• Conservación: hasta que se resuelva el asunto y, después, mientras sea necesario para atender posibles reclamaciones legales.

4.3. Cuentas de clientes

De cada cuenta tratamos el nombre, la dirección de correo, la organización y el rol de sus miembros, los hashes de sus tokens de API (nunca los tokens) y el registro de auditoría de los cambios de configuración, que anota quién hizo cada cambio, cuándo y el motivo indicado.

• Finalidad: prestar el servicio, proteger el acceso y llevar un registro de los cambios.
• Base jurídica: la ejecución del contrato (art. 6.1.b RGPD); para el registro de auditoría, también nuestro interés legítimo en la seguridad y la trazabilidad del servicio (art. 6.1.f RGPD).
• Conservación: mientras exista la cuenta; después se borran, salvo las entradas del registro de auditoría y otros datos que debamos o podamos conservar para cumplir obligaciones legales o atender reclamaciones legales.

4.4. Correos automáticos

Enviamos correos automáticos desde [email protected]. En concreto, el control de acceso envía códigos de un solo uso a las direcciones de correo que un cliente ha autorizado a entrar en una zona protegida de su sitio web. Enviamos esos correos por cuenta del cliente, como su encargado (consulta el apartado 3).

5. Con quién compartimos datos

Trabajamos con estos proveedores. Ningún otro tercero recibe datos personales de nosotros.

Nuestro correo funciona en un servidor de correo propio. No vendemos ni compartimos datos personales, no mostramos publicidad y no usamos datos personales para entrenar modelos de inteligencia artificial. Solo comunicaremos datos a las autoridades cuando la ley lo exija.

6. Transferencias internacionales

AI Services LLC es una empresa establecida en Estados Unidos. Los datos personales se guardan en la Unión Europea (Alemania). Cuando se transfieren datos a Estados Unidos, también a la propia AI Services LLC y a los proveedores indicados arriba, la transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. cuando el destinatario está certificado en él o, en otro caso, en las cláusulas contractuales tipo aprobadas por la Comisión Europea.

7. Cómo protegemos los datos

• Servidores, DNS y nodos de borde alojados en la Unión Europea.
• Cifrado en tránsito (TLS).
• Tokens de API guardados solo como hashes y con caducidad obligatoria.
• Configuración enviada a los nodos de borde firmada con Ed25519.
• Cada cambio de configuración se versiona y se anota en un registro de auditoría con su autor y su motivo.
• Acceso limitado a las personas que lo necesitan.
• Eventos de seguridad borrados a los 30 días por defecto.

8. Tus derechos

Tienes derecho a acceder a tus datos, rectificarlos, solicitar su supresión, oponerte a su tratamiento, solicitar la limitación del tratamiento y solicitar su portabilidad, así como a retirar tu consentimiento en cualquier momento cuando el tratamiento se base en él. Para ejercerlos, escribe a [email protected]. Podemos pedirte que acredites tu identidad.

Si crees que no hemos tratado bien tus datos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) o ante la autoridad de control de tu país.

Si visitas un sitio web protegido por OpenWAF, el titular de ese sitio es el responsable de tus datos: contacta primero con él. Si nos escribes a nosotros, reenviaremos tu solicitud al cliente y le ayudaremos a responder.

9. Menores

OpenWAF es un servicio para empresas y no está dirigido a menores de 18 años. No recogemos conscientemente datos de menores.

10. Residentes en Estados Unidos

No vendemos ni compartimos información personal, en el sentido que dan a esos términos la California Consumer Privacy Act y su modificación por la California Privacy Rights Act (CCPA/CPRA). Para ejercer tus derechos, escribe a [email protected].

11. Cambios en esta política

Podemos actualizar esta política. La fecha de la última versión aparece al principio de esta página. Si un cambio es importante, avisaremos a nuestros clientes por correo antes de que entre en vigor.