Acuerdo de Tratamiento de Datos

1. Roles y alcance

Este resumen del Acuerdo de Tratamiento de Datos se aplica entre TraceHold B.V. ("Tracehold", "nosotros"), antes Verifia, establecida en la Unión Europea en Werfkade 25, 1033 TA Ámsterdam, Países Bajos (KvK 97572896, IVA NL868118278B01), y la organización que contrata un plan gestionado de Tracehold ("tú", el "Cliente").

Para los despliegues gestionados (los planes de pago Insight y Governance):

• el Cliente es el responsable del tratamiento: tú decides por qué y cómo se tratan los datos personales a través de tu despliegue;
• Tracehold es el encargado del tratamiento: tratamos datos personales solo siguiendo tus instrucciones documentadas, según lo previsto en el DPA y en la configuración de tu despliegue. Esto incluye las cuentas de las personas que usan tu consola.

Esta página no cubre la extensión de navegador gratuita ni este sitio web. En ambos casos Tracehold es el responsable del tratamiento; consulta la Política de Privacidad.

2. Objeto y duración

El objeto del tratamiento es la prestación del servicio gestionado de AI-DLP de Tracehold: detectar datos sensibles antes de que lleguen a herramientas de IA, registrar un historial de auditoría de los hallazgos y elaborar los informes de cumplimiento y el mapeo normativo (RGPD, Reglamento de IA de la UE, DORA, NIS2, ISO 27001 y SOC 2) que ofrece el servicio.

La duración del tratamiento coincide con la vigencia de tu suscripción. Salvo que el DPA disponga otra cosa, Tracehold aplica estos plazos de conservación por defecto para toda la plataforma, que son los mismos para todas las organizaciones: registros de eventos, 365 días; muestras enmascaradas y contenido conservado, 90 días; telemetría de agentes de endpoint, 90 días; registros de instalación de extensión, 180 días desde su última actividad; registro de actividad de la consola, incluida la IP, 30 días (las entradas más antiguas se eliminan cada vez que arranca el servicio). Son las purgas automáticas: otros registros derivados, como el histórico de puntuaciones de riesgo y los informes de incidentes, no se purgan automáticamente y se eliminan según la regla de fin de contrato o a petición de la organización. Al terminar el contrato, los datos se devuelven o se eliminan como se describe en el apartado 10.

3. Naturaleza y finalidad del tratamiento

La naturaleza del tratamiento es la detección automatizada en el navegador o en el equipo, seguida del envío de datos de eventos sobre los hallazgos a tu backend de Tracehold: tipo de dato, gravedad, destino y acción, más una muestra enmascarada del valor. El texto de un prompt llega a Tracehold solo mediante las funciones opcionales descritas en el apartado 4.

La finalidad es estrictamente prestar el servicio que has contratado:

• detectar y evitar que los datos sensibles lleguen a herramientas de IA (en más de 300 dominios de herramientas de IA, con más de 1.600 reglas de detección);
• dar a tus equipos de seguridad y cumplimiento un registro de auditoría de los hallazgos; y
• elaborar los informes de cumplimiento y el mapeo normativo sobre RGPD, Reglamento de IA de la UE, DORA, NIS2, ISO 27001 y SOC 2.

No usamos los datos personales que tratamos en tu nombre para ningún otro fin, no los vendemos y no los usamos para entrenar modelos de IA o de aprendizaje automático.

4. Categorías de datos personales e interesados

Categorías de datos personales

Por defecto, los datos personales que tratamos como tu encargado son:

• Usuarios de la consola: nombre, correo de trabajo, rol, departamento, horas de acceso, IP y navegador de la actividad en la consola, y datos de autenticación (hash de contraseña; secretos del segundo factor almacenados cifrados), pertenencia a grupos del directorio e identificador de inicio de sesión único cuando se usan, idioma y zona horaria;
• Usuarios y equipos monitorizados: identificador de usuario y correo de trabajo, nombre de usuario del sistema operativo, nombre del equipo, dominio de directorio, identificadores de instalación y de dispositivo, navegador y versión y, en los agentes de endpoint, la IP del equipo y los nombres de proceso;
• Datos de eventos: hora, herramienta de IA y dirección de la página, acción, gravedad, tipo de dato detectado, una muestra enmascarada del valor detectado (los valores de hasta 12 caracteres se enmascaran por completo; los más largos muestran los 8 primeros y los 4 últimos caracteres), en los agentes de endpoint un extracto del texto con los valores sensibles enmascarados, e informes de falso positivo enviados por los usuarios (fragmento enmascarado de hasta 500 caracteres y nota opcional), conservados 90 días;
• Datos derivados: puntuaciones de riesgo por usuario y por organización.

Opcionales, desactivados por defecto. Tracehold nunca activa ninguna por iniciativa propia: se activan a petición tuya, con tu confirmación de la evaluación de impacto en protección de datos, por tus administradores o por personal de Tracehold que actúa siguiendo tus instrucciones documentadas, y cada cambio queda registrado en el registro de actividad:

• clasificador LLM (plan Governance, beta): el texto, el contexto reciente de la conversación, los mensajes anteriores enviados para resumirlos y, si la interceptación en el endpoint está activada, el texto extraído de ficheros, enviados en tránsito; Tracehold no lo almacena;
• contenido conservado de los hallazgos (el texto original que rodea a un hallazgo, fragmentos de conversaciones, peticiones o respuestas), cifrado a nivel de aplicación y eliminado a los 90 días, con una versión enmascarada guardada junto a él;
• archivos enviados al backend de Tracehold por los mecanismos de respaldo para archivos, leídos y no almacenados;
• la lista de otras extensiones de navegador instaladas en los navegadores monitorizados (gestión de extensiones de terceros).

La detección busca categorías especiales de datos (por ejemplo, datos de salud) como parte de su finalidad; por defecto no se almacena su contenido.

Categorías de interesados

Los interesados son el personal del Cliente: tus empleados, contratistas y demás usuarios autorizados, tanto usuarios monitorizados como usuarios de la consola. Si activas el contenido conservado, también pueden verse implicados terceros mencionados por tu personal; minimizarlo depende de ti como responsable.

Tus responsabilidades como responsable

Estas funciones las decides tú, como responsable; Tracehold solo las activa siguiendo tus instrucciones documentadas. Eres responsable de contar con una base jurídica para la monitorización, de realizar la evaluación de impacto en la protección de datos que esta requiera y de informar a tu plantilla y, cuando proceda, a tu comité de empresa, también sobre las puntuaciones de riesgo que la consola calcula por usuario y por organización.

5. Obligaciones del encargado y acceso del personal

Como tu encargado, y conforme al artículo 28 del RGPD, Tracehold se compromete a:

• tratar los datos solo siguiendo tus instrucciones documentadas, también respecto de las transferencias internacionales, salvo que el Derecho de la UE o de un Estado miembro exija otra cosa (en cuyo caso te informaremos, cuando la ley lo permita);
• aplicar y mantener medidas técnicas y organizativas de seguridad adecuadas (ver el apartado 7);
• recurrir a subencargados solo en las condiciones del apartado 6;
• asistirte en las solicitudes de los interesados y en tus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto en la protección de datos (ver el apartado 9);
• devolver o suprimir los datos personales al terminar el servicio, a tu elección (ver el apartado 10);
• poner a tu disposición la información necesaria para demostrar el cumplimiento y permitir y contribuir a las auditorías (ver el apartado 9); y
• notificarte sin dilación indebida, y en todo caso en un máximo de 48 horas desde que tengamos conocimiento de una violación de la seguridad de los datos personales que afecte a tus datos.

El personal de Tracehold puede acceder al entorno de un cliente para soporte y operación mediante impersonación, una herramienta interna de análisis de solo lectura y cuentas de administración de la plataforma, siempre con cuentas nominativas. Al actuar mediante impersonación, el personal tiene el rol de administrador de la organización, incluido el permiso para revelar el contenido conservado. Los cambios y las revelaciones hechos mediante impersonación se registran con la identidad de la persona en el registro de actividad, que se conserva 30 días; las consultas con la herramienta interna de análisis se registran en un registro de auditoría aparte. El contenido original conservado permanece cifrado en reposo y solo se revela con el permiso de revelado, que también queda registrado.

6. Subencargados

Subencargados actuales: Contabo GmbH (alojamiento de la plataforma, incluidos la base de datos y el servidor de correo propio de Tracehold) y, solo cuando se ha activado para tu organización el clasificador LLM, OVHcloud (inferencia de IA; texto en tránsito). La lista completa, con finalidades, datos y ubicaciones, está en nuestra página de subencargados. Las herramientas de IA que tu organización monitoriza y los destinos que configura (SIEM, Slack o Teams, proveedores de identidad) son decisiones tuyas y no son subencargados de Tracehold.

Te notificamos cualquier incorporación o sustitución prevista de un subencargado con al menos 30 días de antelación, para que puedas oponerte. El correo del sistema y transaccional se envía desde el servidor de correo propio de Tracehold en la UE, por lo que ningún proveedor externo de correo actúa como subencargado; no usamos ningún servicio externo de monitorización de errores ni de analítica. La protección contra bots del formulario de contacto de nuestro sitio web se describe en la página de subencargados; afecta a los visitantes del sitio, no a los datos tratados para ti.

7. Medidas de seguridad

La seguridad está integrada en el producto. Las medidas técnicas y organizativas adecuadas para este tratamiento incluyen:

Cifrado

Los datos viajan por HTTPS. El contenido original de los hallazgos que tu organización decide conservar, los secretos almacenados del inicio de sesión único LDAP y OIDC y de las integraciones SIEM, y los secretos de las aplicaciones de autenticación (TOTP) se cifran en reposo con AES-256-GCM a nivel de aplicación. Los secretos de SIEM y los secretos de firma de webhooks nunca los devuelve la API una vez guardados. Los extractos enmascarados, los secretos de firma de webhooks de salida y las direcciones de destino de las alertas de Slack, Teams y correo se almacenan sin cifrado a nivel de aplicación.

Aislamiento

Los datos de cada organización se separan por organización: la aplicación filtra por organización y, en las peticiones de usuarios autenticados y de claves de API, PostgreSQL lo refuerza con Row-Level Security. La ingesta de telemetría de los agentes de endpoint y el inicio de sesión se ejecutan con filtros explícitos por organización en la aplicación. Las organizaciones matriz de un espacio multi-tenant (plan Governance) pueden leer los datos de sus filiales, por diseño; el acceso del personal de Tracehold se describe en el apartado 5.

Revelación auditada

Cuando conservas el contenido de los hallazgos, el original sin enmascarar permanece cifrado hasta que un administrador autorizado lo revela. Cada revelación exige un permiso específico y queda registrada: quién miró, cuándo y qué.

Entrega de las reglas de detección

El manifiesto de reglas de detección se firma con Ed25519 y se entrega por HTTPS a clientes autenticados. La extensión verifica la firma con una clave pública integrada en ella y la integridad de las reglas (SHA-256) antes de aplicarlas, rechaza un conjunto de reglas más antiguo que el último que vio y, si una comprobación falla, conserva las reglas que ya tenía.

Identidad y acceso

El inicio de sesión es por OIDC, LDAP/AD o contraseña, con limitación de intentos y un segundo factor opcional (aplicación de autenticación, código por correo, códigos de respaldo) que tu organización puede exigir. El acceso interno queda auditado.

En cuanto a certificaciones, describimos nuestra situación con claridad: Tracehold no posee actualmente ISO 27001, SOC 2 ni ninguna certificación equivalente; sus informes y evidencias están mapeados a controles de ISO 27001 y SOC 2 para apoyar tus auditorías, y no son asesoramiento legal ni una certificación. Puedes leer más en nuestra página de Seguridad.

8. Transferencias internacionales

El servicio de producción de Tracehold está alojado en la Unión Europea por Contabo GmbH. Si se ha activado para tu organización el clasificador LLM opcional, el texto se envía en tránsito a OVHcloud AI Endpoints, que OVHcloud declara alojados en Francia. Por lo demás, el tratamiento de tus datos conforme a este DPA se realiza en la UE.

Si alguna vez fuera necesaria una transferencia fuera de la UE/EEE para tu despliegue, solo se haría siguiendo tus instrucciones documentadas y bajo un mecanismo de transferencia adecuado, como las Cláusulas Contractuales Tipo de la Comisión Europea, con medidas complementarias cuando proceda. El formulario de contacto del sitio web usa Cloudflare Turnstile (Cloudflare, Inc., Estados Unidos); eso afecta a los visitantes del sitio y se describe en la Política de Privacidad.

9. Auditorías y asistencia

Ponemos a tu disposición la información razonablemente necesaria para demostrar el cumplimiento de nuestras obligaciones del artículo 28, y permitimos y contribuimos a las auditorías, incluidas las inspecciones, realizadas por ti o por un auditor que designes, con un preaviso por escrito de al menos 30 días y como máximo una vez al año (o tras una violación de la seguridad de los datos personales debidamente fundamentada), sujetas a confidencialidad y sin comprometer la seguridad ni el aislamiento de otros clientes.

Teniendo en cuenta la naturaleza del tratamiento y la información de que disponemos como encargado, te asistiremos:

• en la respuesta a las solicitudes de los interesados (acceso, rectificación, supresión, limitación, oposición, portabilidad) relativas a datos de tu despliegue;
• en tus obligaciones de seguridad del tratamiento y notificación de brechas y de comunicación a los interesados; y
• en las evaluaciones de impacto en la protección de datos y en cualquier consulta previa a una autoridad de control.

10. Devolución y eliminación de datos

Al terminar o expirar el servicio gestionado, y a tu elección, devolveremos los datos personales que tratamos en tu nombre o los suprimiremos, y eliminaremos las copias existentes, salvo que el Derecho de la UE o de un Estado miembro nos obligue a conservarlos.

Lo hacemos a petición tuya, en un máximo de 30 días desde la solicitud. Hasta que los datos se eliminen, siguen aplicándose los plazos de conservación por defecto del apartado 2.

11. Responsabilidad

El reparto de responsabilidad entre responsable y encargado, incluidos los límites, las exclusiones y la relación con las condiciones de responsabilidad de tu contrato principal, se rige por las disposiciones de responsabilidad del EULA, el pedido firmado y el Acuerdo de Tratamiento de Datos, conforme a los principios de reparto del artículo 82 del RGPD. Esta página de resumen no crea por sí sola ninguna responsabilidad contractual.

El DPA se rige por las leyes de los Países Bajos, y las controversias se someten al Tribunal de Distrito de Ámsterdam (Rechtbank Amsterdam).

El Acuerdo de Tratamiento de Datos, con Insight y Governance

Facilitamos un Acuerdo de Tratamiento de Datos conforme al artículo 28 del RGPD como parte de los acuerdos de Insight y Governance. Para revisarlo antes de firmar, escríbenos.

• Solicitar el DPA o hacer una consulta: dpo@tracehold.com
• Consultas de privacidad: privacy@tracehold.com
• General: hello@tracehold.com
• Subencargados: consulta la lista vigente
• Correo postal: TraceHold B.V., Werfkade 25, 1033 TA Ámsterdam, Países Bajos

Páginas relacionadas: Seguridad, Privacidad, Términos, DPA y Subencargados.