Política de Privacidad

1. Quiénes somos y qué cubre esta política

La extensión de navegador Tracehold y este sitio web están operados por TraceHold B.V. ("Tracehold", "nosotros"), antes Verifia, establecida en la Unión Europea en Werfkade 25, 1033 TA Ámsterdam, Países Bajos, inscrita en la Cámara de Comercio neerlandesa (KvK) con el número 97572896, número de IVA NL868118278B01.

Esta política cubre:

• la extensión de navegador gratuita de Tracehold, distribuida a través de la Chrome Web Store y otras tiendas de navegadores;
• este sitio web, tracehold.com, incluidos sus formularios de contacto; y
• el servicio gestionado de Tracehold que las organizaciones contratan con nuestros planes de pago Insight y Governance.

Nuestro papel depende de los datos:

• Tracehold es responsable del tratamiento de los datos personales de este sitio web, de nuestros contactos comerciales, de las estadísticas de uso de la extensión gratuita y de la encuesta opcional de desinstalación.
• Tracehold es encargado del tratamiento de los datos que una organización trata a través de su despliegue gestionado, incluidas las cuentas de las personas que usan su consola. En ese caso la organización es la responsable, rige el aviso de privacidad de tu empleador y se aplica nuestro Acuerdo de Tratamiento de Datos. El apartado 4 describe qué envía el producto gestionado para que tengas el panorama completo.

Para la extensión de navegador de pago (empresa), que instala y configura tu organización, consulta la Política de privacidad de la extensión de navegador TraceHold (Enterprise), que solo está disponible en inglés.

Puedes escribir a nuestro contacto de protección de datos en dpo@tracehold.com.

2. Qué hace la extensión

Tracehold ayuda a evitar que información sensible, como contraseñas, claves API, código fuente, datos personales, datos financieros y documentos confidenciales, se comparta con herramientas de IA como ChatGPT, Claude, Gemini y Copilot. Cuando estás a punto de enviar algo a una herramienta de IA, la extensión lo comprueba en tu navegador, antes de enviarlo, y puede avisarte, redactar la parte sensible o bloquear la acción según la política activa. Si no encuentra nada sensible, el mensaje se envía sin cambios.

3. Datos a los que accede la extensión en tu navegador

Para hacer su trabajo, la extensión necesita leer ciertas cosas localmente, en tu navegador. Leer no es lo mismo que recopilar: los elementos siguientes se analizan en tu navegador y la extensión gratuita no nos transmite su contenido (salvo los fragmentos que decidas enviar en un informe, véase el apartado 4). Solo envía las estadísticas limitadas descritas en el apartado 4 (que incluyen, por ejemplo, el dominio de la herramienta de IA que usas, pero nunca el contenido en sí).

• Texto que introduces en herramientas de IA: los prompts, mensajes y campos de texto que estás a punto de enviar. Esto se inspecciona en el navegador para detectar contenido sensible. El texto en sí no se envía a Tracehold, salvo los informes que decidas enviar (apartado 4).
• Archivos que eliges escanear: si pides a la extensión que revise un archivo (por ejemplo, un documento o una imagen), se lee localmente para detectar contenido sensible y luego se descarta. El archivo no se guarda ni se sube.
• El sitio web en el que estás: la extensión necesita saber cuándo estás en una herramienta de IA para poder activarse. Usa esto solo para decidir si debe ejecutarse y cómo; no elabora un perfil de historial de navegación.
• Tu configuración local: tus preferencias (por ejemplo, qué avisos has descartado) se almacenan en tu navegador mediante el almacenamiento propio de las extensiones.

4. Qué recopilamos, y qué no

Extensión gratuita

La extensión gratuita de Tracehold no requiere cuenta y no transmite el contenido de tus prompts, mensajes o conversaciones, el contenido de los archivos que escaneas ni tu historial de navegación (salvo los fragmentos que decidas enviar en un informe, véase más abajo). No te pide nombre ni correo; el único lugar donde puedes escribir una dirección de correo es la encuesta opcional que aparece al desinstalar (ver más abajo).

Estadísticas de uso. La extensión gratuita se comunica con nuestro servidor en app.tracehold.com. Envía un ping estadístico como máximo una vez cada 12 horas y, solo si hubo actividad, lotes de eventos de escaneo cada 2 minutos aproximadamente. Cada petición lleva un identificador de instalación generado al azar (se crea al instalar; identifica la instalación, no a ti; se conserva al reinstalar), la fecha, la versión de la extensión y el tipo de navegador. Los eventos de escaneo llevan además el dominio de la herramienta de IA, la acción (permitido, solo detectado o bloqueado), el nombre, la categoría y la gravedad de la regla de detección que saltó, la capa de detección y recuentos de hallazgos. Como cualquier petición web, llega a nuestro servidor junto con tu dirección IP; no guardamos la dirección, sino un hash criptográfico de ella. Como el identificador de instalación y el hash son estables, tratamos estos datos como datos personales seudónimos, no como datos anónimos. Nunca contienen el texto de tus prompts, mensajes o archivos, ni el valor detectado.

Informes de falso positivo. Si pulsas el botón de falso positivo, recibimos además la regla que saltó, el dominio de la IA, un fragmento enmascarado del valor detectado (nunca el texto completo), una nota opcional que puedas escribir, tu tipo de navegador y el hash de IP.

Informes de detección omitida. Si abres el panel de resaltado y pulsas «¿Falta algo por detectar?», seleccionas palabras de tu texto y pulsas Enviar, recibimos las palabras que has seleccionado (hasta 200 caracteres, sin enmascarar), el dominio de la IA, tu tipo de navegador y el hash de IP. No se envía nada si no pulsas Enviar; selecciona solo texto que no te importe que veamos.

Configuración del servicio. Al instalar y al arrancar el navegador, la extensión consulta su configuración de servicio (solo descubre direcciones del servicio y no envía identificadores).

Desinstalación. Al desinstalar, tu navegador abre una página de app.tracehold.com con una breve encuesta opcional (valoración, motivo, comentario libre y, si quieres, una dirección de correo). No se guarda nada salvo que la envíes; si la envías, guardamos tus respuestas junto con el hash de IP (la extensión gratuita no envía con la encuesta el tipo de navegador ni ningún identificador).

Despliegues gestionados (Insight / Governance)

Cuando una organización despliega Tracehold de forma centralizada, el producto envía datos de eventos al backend de Tracehold de esa organización, que aloja Tracehold, para que sus equipos de seguridad y cumplimiento puedan actuar sobre el riesgo. Por defecto son:

• el tipo de dato sensible hallado (por ejemplo, "una clave API"), su gravedad, la acción aplicada y la hora;
• la herramienta de IA o el sitio implicado, incluida la dirección de la página, y el navegador;
• los identificadores del usuario y del equipo que la organización ha dado de alta, por ejemplo, correo de trabajo, nombre de usuario del sistema operativo, nombre del equipo, dominio de directorio e identificadores de instalación; en los agentes de endpoint, también la IP del equipo y el nombre del proceso;
• una muestra enmascarada del valor detectado: los valores de hasta 12 caracteres se enmascaran por completo; los más largos muestran solo los 8 primeros y los 4 últimos caracteres; y
• en los agentes de endpoint, un extracto del texto con los valores sensibles enmascarados.

La consola calcula puntuaciones de riesgo por usuario y por organización a partir de estos eventos. La organización, como responsable, debe informar de esta monitorización a su plantilla y, cuando proceda, a su comité de empresa.

El texto de un prompt solo llega a Tracehold si se ha activado para tu organización una función opcional. Todas están desactivadas por defecto y Tracehold nunca activa ninguna por iniciativa propia: se activan a petición de la organización y con su confirmación de la evaluación de impacto en protección de datos, por sus administradores o por personal de Tracehold que actúa siguiendo sus instrucciones documentadas, y cada cambio queda registrado en el registro de actividad.

• Clasificador LLM (plan Governance, beta): el texto, el contexto reciente de la conversación y, para acortar ese contexto, mensajes anteriores de la misma conversación para resumirlos, viajan en tránsito al clasificador operado por OVHcloud; si la organización también ha activado la interceptación en el endpoint, se envía además el texto extraído de ficheros e imágenes. Tracehold no lo almacena.
• Conservar el contenido de los hallazgos: el texto original que rodea a un hallazgo, un fragmento de la conversación (extensión del navegador) o de la petición o respuesta (agentes de endpoint), se guarda cifrado a nivel de aplicación y se elimina a los 90 días. Junto a él se guarda una versión con los valores sensibles enmascarados, que los usuarios autorizados de la consola ven sin el permiso de revelado. El original solo se revela con un permiso específico (o, para un incidente notificado como falso positivo, a administradores y gerentes), y cada revelado queda registrado.
• Mecanismos de respaldo para archivos: un archivo se envía al backend de Tracehold, que lo lee, devuelve los hallazgos y no lo almacena.

Otra función opcional, la gestión de extensiones de terceros, permite a la organización ver qué otras extensiones de navegador están instaladas en sus navegadores monitorizados. También está desactivada por defecto.

Estas funciones las decide la organización, como responsable; Tracehold solo las activa siguiendo sus instrucciones documentadas.

5. Permisos de navegador que solicitamos, y por qué

La extensión solicita solo los permisos que necesita para funcionar. Cada uno se usa únicamente para el fin descrito, nunca para recopilar datos por ningún motivo ajeno. Los permisos exactos figuran en la página de la tienda y en el manifiesto de la extensión; son:

• Acceso a sitios web (permisos de host y de scripts de contenido): la extensión se carga en todos los sitios web que visitas para poder reconocer herramientas de IA, incluidas las nuevas que aún no están en su catálogo; tu navegador puede describirlo como «leer y cambiar tus datos en todos los sitios web». El motor de detección solo arranca cuando la dirección del sitio coincide con una herramienta de IA reconocida; en cualquier otro sitio la extensión se detiene de inmediato y no lee la página. Las peticiones a *.tracehold.com llevan las estadísticas descritas en el apartado 4.
• Almacenamiento: para guardar tu configuración y tus contadores en el navegador.
• Notificaciones: para avisarte cuando se bloquea un envío y para advertirte de descargas de riesgo.
• Alarmas: para programar el ping estadístico y los lotes de eventos de escaneo.
• Descargas (solo Chrome): aviso de solo lectura al descargar un archivo de un sitio de IA reconocido; la extensión nunca pausa, cancela ni borra una descarga.
• Offscreen (solo Chrome): ejecuta el análisis local en una página en segundo plano, como exige Chrome.

No solicitamos permisos para publicidad, seguimiento, ni para ningún fin ajeno a la prevención de fuga de datos.

6. Este sitio web, formularios de contacto y cookies

Formularios de contacto. Puedes escribirnos mediante el formulario de contacto (nombre, correo de trabajo, empresa, cargo, tamaño de la empresa, país, teléfono opcional, motivo, plan de interés, canales y mensaje) o mediante el formulario breve que aparece al pie de muchas páginas, que solo pide tu dirección de correo. Usamos estos datos únicamente para responder a tu consulta y gestionar la relación comercial que pueda surgir. Nuestra base jurídica es la aplicación de medidas precontractuales a petición tuya (artículo 6.1.b del RGPD) o, en su defecto, nuestro interés legítimo en responder a consultas comerciales (artículo 6.1.f del RGPD).

Adónde van. El envío llega por correo electrónico a nuestro propio buzón, en nuestro propio servidor de correo (Mailcow), alojado por Contabo en la Unión Europea. No se guarda en ninguna base de datos. Conservamos el correo mientras sea necesario para responder a tu consulta y gestionar la relación comercial que resulte. Los registros del servidor del formulario de contacto (que incluyen tu dirección IP y tu correo) se conservan un máximo de 90 días. Nuestro servidor de correo guarda además sus registros habituales de entrega (direcciones de remitente y destinatario, estado de entrega e IP de conexión); rotan automáticamente por tamaño y, con el volumen actual, se conservan menos de 90 días. Además te enviamos un acuse de recibo automático que incluye una copia de lo que has escrito.

Registros del servidor. El servicio que recibe el formulario anota en los registros del sistema del servidor la dirección IP de la petición y, en un envío correcto, el nombre de la empresa y la dirección de correo que has introducido (en el formulario breve, la dirección de correo). No registra el texto de tu mensaje. No hemos fijado un plazo de eliminación para estas entradas: el diario del sistema se limita por tamaño, no por tiempo, y hoy conserva entradas de varios meses atrás, mientras que la copia en los ficheros de syslog se rota cada semana y se conserva aproximadamente un mes. Nuestro servidor web no guarda registros de acceso.

Protección contra bots. El formulario de contacto usa Cloudflare Turnstile, de Cloudflare, Inc. (Estados Unidos), para distinguir a las personas de los bots. Cloudflare recibe tu dirección IP y señales de tu navegador. La transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU., al que está adherida Cloudflare, Inc. El formulario corto del pie de las páginas no usa Turnstile; el correo de aviso que recibimos incluye tu dirección IP. Consulta la página de Subencargados.

Cookies y almacenamiento local. Este sitio web no instala cookies. Guarda un único elemento, th_lang, en el almacenamiento local de tu navegador, y solo si usas el selector de idioma o respondes a la sugerencia de idioma; recuerda tu elección de idioma. Solo en la página de contacto, el widget Cloudflare Turnstile se ejecuta en un marco servido por Cloudflare y puede guardar un elemento técnico (cf.turnstile.u) en el almacenamiento local de tu navegador para su propio funcionamiento; no instala cookies.

7. Cómo usamos la información

• Extensión gratuita: para prestar el servicio gratuito, medir cómo se usa (estadísticas de uso), atender los informes de falso positivo que envías y entender por qué se desinstala. Nuestra base jurídica es nuestro interés legítimo en operar y mejorar la extensión gratuita (artículo 6.1.f del RGPD); la encuesta y los informes son voluntarios.
• Despliegues gestionados: únicamente para prestar el servicio que la organización contrató: detectar y evitar que los datos sensibles lleguen a herramientas de IA y proporcionar a la organización el registro de auditoría y los informes de cumplimiento que necesita.
• Este sitio web: para responder a consultas, como se describe en el apartado 6.

No usamos tu información para ningún otro fin.

8. Comunicación de datos y divulgación

• No vendemos tus datos. Nunca.
• No compartimos tus datos con redes de publicidad o de intermediación de datos, ni los usamos para segmentación publicitaria ni para evaluar solvencia crediticia o concesión de préstamos.
• No usamos tus datos para entrenar modelos de IA o de aprendizaje automático.
• Despliegues gestionados: los datos de eventos se ponen a disposición de la organización que desplegó Tracehold (la responsable del tratamiento), tal como se describe en el apartado 4.
• Proveedores de servicios: usamos Contabo para el alojamiento; OVHcloud, solo si se ha activado para una organización el clasificador LLM opcional; Cloudflare, para la protección contra bots del formulario de contacto de este sitio web; y Vercel, que solo redirige www.tracehold.com a este sitio web. La lista vigente, con ubicaciones, está en la página de Subencargados.
• Aspectos legales: podemos divulgar información si así lo exige la ley, o para proteger la seguridad, los derechos o la seguridad física de los usuarios y del público.

9. Chrome Web Store: Divulgación de Uso Limitado

El uso que Tracehold hace de la información recibida de las API de Google, y de cualquier dato al que acceda la extensión, cumple con la Política de Datos de Usuario de la Chrome Web Store, incluidos sus requisitos de Uso Limitado. En concreto:

• recopilamos y usamos datos únicamente para prestar y mejorar el propósito único de la extensión: la prevención de fuga de datos;
• no vendemos estos datos, ni los transferimos ni usamos para publicidad personalizada, evaluación de solvencia crediticia o concesión de préstamos;
• no transferimos estos datos a terceros salvo cuando sea necesario para prestar el propósito único, por seguridad, o para cumplir con la ley; y
• no permitimos que personas lean tus datos, salvo con tu consentimiento expreso, cuando sea necesario por seguridad o para cumplir con la ley aplicable, o cuando los datos hayan sido agregados y anonimizados.

10. Conservación y eliminación de datos

Extensión gratuita, en tu navegador: la extensión conserva su configuración y sus contadores, su identificador de instalación y una pequeña cola de eventos estadísticos aún no enviados. Puedes borrarlos en cualquier momento. Al desinstalar se elimina la copia local, pero el contador de bloqueos y el identificador de instalación se guardan además en el almacenamiento de sincronización de tu propio navegador (lo sincroniza tu cuenta del navegador, no Tracehold), por lo que pueden recuperarse si reinstalas la extensión. El contenido de los prompts y los archivos nunca se almacena.

Extensión gratuita, en nuestros servidores: las estadísticas de uso se conservan mientras sean necesarias para elaborar estadísticas de uso. El fragmento de texto de un informe de falso positivo o de detección omitida se elimina automáticamente a los 90 días; el resto de campos del informe (regla, dominio, nota, tipo de navegador, hash de IP) se conservan mientras hagan falta para mejorar la detección. Las respuestas de la encuesta de desinstalación se conservan mientras hagan falta para entender y mejorar la extensión gratuita.

Despliegues gestionados: Tracehold aplica estos plazos por defecto para toda la plataforma: registros de eventos, 365 días; muestras enmascaradas y contenido conservado, 90 días (el registro permanece, el contenido se elimina); telemetría de agentes de endpoint, 90 días; registros de instalación de extensión, 180 días desde su última actividad; registro de actividad de la consola, incluida la IP, 30 días (las entradas más antiguas se eliminan cada vez que arranca el servicio). Son las purgas automáticas: otros registros derivados, como el histórico de puntuaciones de riesgo y los informes de incidentes, no se purgan automáticamente y se eliminan según la regla de fin de contrato o a petición de la organización. Los plazos son los mismos para todas las organizaciones. Al terminar el contrato, los datos de la organización se eliminan a petición suya en un máximo de 30 días. Las solicitudes de acceso o supresión se dirigen a tu organización como responsable; nosotros la asistimos como encargado.

Sitio web: consulta el apartado 6.

11. Seguridad

La seguridad está integrada en el producto. La extensión gratuita analiza los prompts en tu navegador. En el servicio gestionado, los datos viajan por HTTPS; el contenido original de los hallazgos que conserva tu organización y los secretos almacenados de las integraciones LDAP, OIDC y SIEM se cifran a nivel de aplicación con AES-256-GCM; para los usuarios autenticados y las claves de API, los datos de cada organización se separan por organización y la base de datos lo refuerza con Row-Level Security; las reglas de detección que descarga la extensión de pago viajan por HTTPS y su integridad se verifica antes de usarlas; y revelar el contenido conservado exige un permiso específico y queda registrado. Puedes leer más en nuestra página de Seguridad.

12. Dónde residen tus datos

Los servidores de Tracehold, incluidos app.tracehold.com y este sitio web, están alojados en la Unión Europea por Contabo GmbH. Tres proveedores se aplican en condiciones concretas:

• OVHcloud AI Endpoints, solo si se ha activado para una organización el clasificador LLM opcional: el texto, el contexto reciente de la conversación, los mensajes anteriores enviados para resumirlos y, si la interceptación en el endpoint está activada, el texto extraído de ficheros se envían en tránsito para su clasificación. OVHcloud declara públicamente que sus AI Endpoints están alojados en Francia y que no conserva los datos ni los usa para entrenar; son declaraciones públicas de OVHcloud.
• Cloudflare, Inc. (Estados Unidos), para la protección contra bots del formulario de contacto de este sitio web, como se describe en el apartado 6. La transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU.
• Vercel Inc. (Estados Unidos), para la dirección www.tracehold.com. Las peticiones a www.tracehold.com las atiende Vercel Inc., que solo redirige a tracehold.com (recibe la dirección IP y la dirección solicitada). La transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU.

13. Tus derechos (RGPD y leyes similares)

Cuando tratamos tus datos personales, tienes derecho a acceder, rectificar, suprimir, limitar u oponerte a ese tratamiento, y a la portabilidad de los datos, conforme a la ley aplicable.

• Para la extensión gratuita y para las consultas desde la web, escribe a privacy@tracehold.com. Si los datos se guardan solo asociados a un identificador de instalación aleatorio o a un hash de IP, puede que no podamos vincularlos contigo, y te diremos qué podemos y qué no podemos identificar como tuyo.
• Para despliegues gestionados, tu empleador es el responsable del tratamiento; dirige a él tus solicitudes de derechos, y él nos dará instrucciones a nosotros como encargado.

También tienes derecho a presentar una reclamación ante la autoridad neerlandesa de protección de datos (Autoriteit Persoonsgegevens) o ante la autoridad de protección de datos de tu país.

14. Menores y uso profesional

Tracehold es una herramienta de seguridad para el entorno laboral, dirigida a organizaciones y profesionales. No está dirigida a menores ni a nadie menor de 16 años, y no tratamos a sabiendas sus datos personales.

15. Cambios en esta política

Podemos actualizar esta política a medida que el producto evolucione. Cuando lo hagamos, revisaremos la fecha de "Última actualización" indicada arriba, y para cambios sustanciales proporcionaremos un aviso más visible (por ejemplo, en la extensión o en esta página).

16. Contáctanos

¿Tienes preguntas sobre privacidad, o quieres ejercer un derecho?

• Consultas de privacidad: privacy@tracehold.com
• Contacto de protección de datos: dpo@tracehold.com
• General: hello@tracehold.com
• Correo postal: TraceHold B.V., Werfkade 25, 1033 TA Ámsterdam, Países Bajos (KvK 97572896, IVA NL868118278B01)

Páginas relacionadas: Seguridad, Términos, DPA y Subencargados.