Política de Privacidad

01 Responsable del tratamiento

02 Qué datos tratamos y para qué

ORTSLAB analiza mensajes sospechosos, ofrece herramientas de investigación y genera informes. Para hacerlo, tratamos estos datos:

• El mensaje que analizas: el texto, el correo o el archivo que envías se procesa en nuestro servidor para analizarlo. El texto original del mensaje no se guarda.
• El resultado del análisis (90 días): sí se guarda el resultado, para que puedas recuperarlo o generar tu informe: veredicto, puntuación e indicadores, y los datos técnicos que el análisis detecta en el mensaje, como el asunto, el nombre y la dirección del remitente, la dirección del destinatario (si consta en el mensaje), la dirección IP de origen, enlaces, teléfonos, huellas (hash) de los adjuntos y palabras o expresiones citadas como indicios. Estos datos pueden incluir datos personales tuyos o de terceros que figuren en el mensaje. Cada análisis lleva una referencia (ORTS-AAAAMMDD-XXXXXX) y una clave secreta que solo recibe quien lo hizo; en nuestra base de datos solo guardamos la huella de esa clave.
• Tu cuenta (si te identificas): tu correo electrónico, para enviarte el enlace de acceso y reconocerte. El enlace es de un solo uso y caduca a los 15 minutos; de él y de tu sesión solo guardamos una huella (hash), junto con una huella de tu dirección IP. También guardamos el estado de tu membresía (fechas de inicio y fin).
• Historial y Mis Casos (solo miembros): si eres miembro, tus análisis y tus Informes Técnicos se conservan sin plazo de caducidad para que puedas consultarlos en tu Historial, y los casos que creas en Mis Casos se guardan en tu cuenta con los resultados de las herramientas que lances en ellos (por ejemplo, datos de dominios, direcciones IP o teléfonos que investigues, metadatos de archivos o texto extraído de imágenes). Si importas lo que tenías guardado antes en tu navegador, también pasa a tu cuenta. Límite por cuenta: 250 MB de casos y 2.000 entradas de historial importado.
• Informe Técnico: si generas uno, guardamos tu correo electrónico, el PDF (con los datos del análisis y las comprobaciones técnicas), su huella SHA-256, la fecha, el importe y la versión de las condiciones aceptadas, y una huella (hash) de tu dirección IP para limitar el abuso. Te enviamos por correo un enlace firmado para descargarlo.
• Control del uso gratuito: contamos los análisis y los informes de cada persona para aplicar los límites de uso, con tu cuenta o, si no te identificas, con un identificador anónimo guardado en una cookie (o, si no hay cookie, con una huella de tu dirección IP). Cada decisión (uso permitido, límite alcanzado, alta o baja de membresía) queda registrada con la dirección IP anonimizada (sin su último bloque) para poder resolver incidencias.
• Base antifraude propia: para detectar campañas y mejorar el servicio, registramos datos técnicos de los mensajes valorados como sospechosos o peligrosos (dominio del remitente, dirección IP de origen del mensaje, teléfonos, país, motivo de la detección y huella del mensaje), sin tu identidad. Si llegas desde un enlace de referido municipal, también se anota el municipio.
• Enlaces de referido: si llegas desde el enlace de un colaborador (por ejemplo, un ayuntamiento), anotamos la visita (referido, fecha, dirección IP anonimizada sin su último bloque y datos del navegador) y si después haces un análisis. El referido se añade también a las estadísticas de uso.
• Estadísticas de uso: resultado del análisis, tipo (correo, SMS o imagen), motivo de la detección, dominio y país de origen del mensaje, su dirección IP de origen anonimizada (sin su último bloque) y los datos de tu navegador (user-agent).
• Límite de peticiones: para evitar abusos, guardamos tu dirección IP completa un máximo de 10 minutos al analizar, y unos contadores de uso de las herramientas (por cuenta o por huella de IP) que se borran a los 2 días.
• Archivos que subes a las herramientas: se procesan en nuestro servidor y no se guardan; los audios para transcribir se borran como máximo una hora después. Solo se conserva el resultado si lo guardas en un caso de Mis Casos. La transcripción de audio se hace en nuestro propio servidor, sin enviarlo a terceros.
• Formulario de contacto: los datos que facilites (nombre, correo, teléfono, mensaje) se envían por correo electrónico al responsable para responderte; no se guardan en la base de datos de la web.
• Pagos (cuando estén activos): el pago lo gestiona Stripe; ORTSLAB no ve ni guarda los datos de tu tarjeta. Guardamos los identificadores de cliente y de suscripción de Stripe y los avisos de pago que nos envía (el detalle de esos avisos se borra a los 90 días).

03 Base legal del tratamiento

• Ejecución del servicio que solicitas (art. 6.1.b RGPD): analizar el mensaje, conservar el resultado para que puedas recuperarlo, gestionar tu cuenta y tu membresía, guardar tu Historial y Mis Casos, generar el Informe Técnico y enviarte los enlaces de acceso y de descarga.
• Interés legítimo (art. 6.1.f RGPD): estadísticas para mejorar el servicio, prevención del abuso (límites de uso y registro de decisiones), seguridad del sistema y mantenimiento de una base propia para detectar fraudes.
• Consentimiento (art. 6.1.a RGPD): formulario de contacto. Puedes retirarlo en cualquier momento.
• Obligación legal (art. 6.1.c RGPD): conservar el registro de las operaciones cuando corresponda por normativa fiscal o contable.

04 Cookies y almacenamiento en tu navegador

ORTSLAB utiliza únicamente cookies técnicas necesarias para el funcionamiento del servicio:

• ol_sess: mantiene tu sesión si te identificas con tu correo. Duración: 30 días.
• ol_anon: identificador anónimo y aleatorio para contar el uso gratuito sin necesidad de identificarte. Duración: 400 días.
• ol_ah: cookie de seguridad que solo existe mientras completas el acceso con el enlace del correo. Duración: 30 minutos.
• ortslab_ref: identifica el enlace de referido desde el que llegaste, para asociarle tus análisis. Duración: 30 días.

Además, tu navegador guarda localmente (localStorage, no son cookies) tu preferencia de tema claro/oscuro, que has visto el aviso de cookies, tu nivel de acceso y el correo con el que te identificas, y un contador de uso. Si usaste versiones anteriores de la web, puede conservar también casos e historial guardados entonces en el navegador, hasta que los importes a tu cuenta. Esa información se queda en tu dispositivo. No se utilizan cookies de seguimiento, analíticas de terceros ni publicidad.

05 Destinatarios y servicios externos

No cedemos datos personales a terceros, salvo obligación legal. Para prestar el servicio utilizamos proveedores que actúan por nuestra cuenta:

• Alojamiento web: nuestro proveedor de hosting, donde están la base de datos y los informes, y desde donde se envían los correos de acceso y de los informes.
• Comprobaciones técnicas (Informe Técnico y herramientas): consultamos servicios externos como RDAP/WHOIS, crt.sh, ip-api.com, Shodan, AbuseIPDB, Spamhaus, Brave Search y ScreenshotOne. Se les envía el dominio, la URL, la dirección IP, el teléfono o la huella de archivo que se comprueba, no tu identidad.
• Imágenes y códigos QR: si subes una imagen a las herramientas, o si un correo que analizas lleva imágenes adjuntas, la imagen se envía a OCR.space (extracción de texto) o a api.qrserver.com (lectura de códigos QR) para procesarla.
• Tipografías: las páginas cargan sus tipografías desde Google Fonts, por lo que tu navegador se conecta a servidores de Google, que reciben tu dirección IP.
• Pagos: Stripe, cuando los pagos estén activos.

Algunos de estos proveedores están establecidos fuera del Espacio Económico Europeo (por ejemplo, Google —por Google Fonts— y Shodan, en Estados Unidos). Por eso, evita subir imágenes con datos personales que no quieras compartir.

06 Plazo de conservación

• Texto original del mensaje: no se guarda.
• Resultado del análisis: 90 días desde el análisis. Si generas un Informe Técnico, el análisis asociado se conserva al menos mientras exista el PDF. Si eres miembro, tus análisis no caducan: se conservan hasta que pidas su supresión.
• Mis Casos e Historial importado: mientras mantengas tu cuenta o hasta que pidas su supresión. Si la membresía termina, siguen disponibles para consulta, sin poder añadir nada nuevo.
• Cuenta (correo y estado de la membresía): mientras mantengas tu cuenta o hasta que pidas su supresión.
• Enlaces de acceso: se borran un día después de caducar. Sesiones: se borran al caducar (30 días) o al cerrar sesión.
• PDF del Informe Técnico: 90 días desde su generación; pasado el plazo se borra el archivo. Los de los miembros no caducan: se conservan hasta que pidas su supresión.
• Registro del informe (fecha, referencia, huella del archivo, importe, correo y huella de IP) y registro de uso (decisiones de acceso con IP anonimizada): se conservan el tiempo necesario para atender reclamaciones y obligaciones legales, aunque el PDF ya no esté disponible.
• Base antifraude: mientras los datos sigan siendo útiles para detectar fraude.
• Estadísticas de uso y visitas de referidos: se conservan para mejorar el servicio y hacer el seguimiento de cada colaboración, sin identificarte.
• Dirección IP para límite de peticiones: 10 minutos como máximo. Contadores de las herramientas: 2 días.
• Avisos de pago de Stripe: el detalle se borra a los 90 días; se conserva el registro mínimo de la operación.

07 Seguridad

Los PDF de los informes se guardan fuera de la zona pública del servidor y solo se descargan con un enlace firmado. La clave secreta de cada análisis, los enlaces de acceso y las sesiones no se guardan en claro: solo su huella. Las cookies de sesión no son accesibles desde JavaScript y solo viajan por conexión cifrada. El acceso a la base de datos está restringido.

08 Tus derechos

Puedes ejercer los siguientes derechos escribiendo a oscar@orts.cat. Para localizar tus datos, indica el correo con el que te identificas o la referencia (ORTS-…) del análisis o del informe:

• Acceso: conocer qué datos tuyos tratamos.
• Rectificación: corregir datos inexactos.
• Supresión: solicitar la eliminación de tus datos, incluida tu cuenta, tus casos y tu historial.
• Limitación: restringir el tratamiento en determinadas circunstancias.
• Oposición: oponerte al tratamiento basado en interés legítimo.
• Portabilidad: recibir tus datos en formato estructurado.

También puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD).