Política de Privacidad

1. Responsable del tratamiento

El responsable del tratamiento de tus datos personales es Yenia Roman Bu, persona física y titular del proyecto AAA Sentinel (en adelante, "nosotros"), mientras la sociedad que prestará el servicio no esté constituida; cuando lo esté, te lo comunicaremos y actualizaremos esta política. Dirección de contacto: compliance@aaa-sentinel.com.

2. Datos que recopilamos

Recopilamos las siguientes categorías de datos:

Datos de registro: nombre, email, contraseña (hash), empresa (opcional).
Datos de uso: páginas visitadas, funcionalidades utilizadas, frecuencia de acceso y timestamps, a partir de logs de aplicación (no de Google Analytics). En las páginas públicas contamos además visitas, procedencia y clics en llamadas a la acción y altas en la lista de espera con PostHog (región UE), sin cookies; recibe además datos técnicos del navegador y la IP, que solo usa para calcular el identificador del día y no guarda.
Cuentas cloud: ARN de roles IAM (AWS), IDs de Service Principal (Azure) y claves de Service Account (GCP) almacenadas cifradas con AWS KMS. No pedimos ni guardamos tu contraseña de consola cloud.
Conexiones de IA: claves de API cifradas y metadatos de gasto/uso del proveedor.
Resultados del servicio: hallazgos, informes, tickets que abras hacia Slack, Jira o Linear, y acciones de agente que apruebes.
Datos de facturación: procesados por Stripe. No almacenamos números de tarjeta ni datos bancarios en nuestros servidores.
Datos técnicos: dirección IP, tipo de navegador y sistema operativo en logs de API y CDN.
Incidencias de soporte: el asunto y el texto que nos escribes al abrir o contestar una incidencia desde la aplicación, las capturas y documentos que decidas adjuntar, tu email, la cuenta cloud que indiques y, si lo permites, la página desde la que la abriste y tu navegador.

3. Finalidad del tratamiento

Utilizamos tus datos para:

Gestionar tu cuenta y autenticación (Amazon Cognito).
Ejecutar análisis de coste, postura de cuentas y gasto de IA con acceso de solo lectura, salvo acciones de agente que apruebes.
Generar informes, recomendaciones, alertas y, si lo configuras, tickets en tus herramientas.
Procesar pagos y gestionar tu suscripción, incluidos extras y el add-on de postura.
Enviar comunicaciones de servicio (alertas, digests, cambios de plan).
Operar y mejorar la plataforma con métricas agregadas internas y, en las páginas públicas, con analítica sin cookies (PostHog, región UE); no usamos Google Analytics ni píxeles publicitarios.
Atender tus incidencias de soporte y avisarte por correo de cada respuesta y cambio de estado.

4. Base legal

El tratamiento se fundamenta en:

Ejecución del contrato: para prestar el servicio (prueba, Pro o Business, extras y add-on).
Consentimiento: para recordar tu elección del banner de cookies (almacenamiento local) y, si las hubiera, comunicaciones comerciales. La analítica de las páginas públicas no usa cookies y no depende de esa elección.
Interés legítimo: para medir de forma agregada y sin cookies el uso de las páginas públicas (puedes oponerte con Do Not Track o Global Privacy Control en tu navegador, o escribiendo a compliance@aaa-sentinel.com), y para prevenir fraude y mejorar la seguridad, incluida la verificación reCAPTCHA del registro, de la recuperación de contraseña, de la lista de espera y del formulario de contacto.
Obligación legal: para cumplir con obligaciones fiscales y regulatorias.

5. Encargados del tratamiento

Compartimos datos con los siguientes proveedores, bajo acuerdos de procesamiento:

Amazon Web Services (AWS): infraestructura (EU-West-1, Irlanda; la monitorización confirma las caídas desde EU-Central-1, Fráncfort). Incluye Cognito, DynamoDB, Lambda, S3 y KMS.
Stripe: procesamiento de pagos (certificado PCI DSS Level 1).
Google Cloud (Vertex AI, modelos Gemini): proveedor principal de la asistencia de IA (explicaciones de hallazgos, borradores de tickets y de remediación y borradores de respuestas a cuestionarios de seguridad), en la multirregión UE de Vertex AI. También redacta el contenido de marketing (blog, posts y newsletter) a partir de los hechos del producto, sin datos personales. No usamos esos datos para entrenar modelos.
Amazon Bedrock (AWS, us-east-1, EE. UU.): respaldo de la asistencia de IA y de la redacción del contenido de marketing. Solo recibe la petición cuando Gemini falla o no responde a tiempo. No usamos esos datos para entrenar modelos.
A tu instrucción: Slack, Jira o Linear solo si conectas un canal o ticket; son encargados o destinatarios que tú eliges.
PostHog (región UE): analítica sin cookies de las páginas públicas (visitas, procedencia y altas en la lista de espera), a través de nuestro propio dominio. Desde la aplicación y la consola no se envía nada.
Google (reCAPTCHA): verificación anti-bots en los formularios de registro, de recuperación de contraseña, de lista de espera y de contacto. Recibe datos técnicos del navegador y la IP al usar esos formularios, con la finalidad de prevenir fraude. Para ese tratamiento Google actúa como responsable independiente, conforme a su propia política de privacidad.

No vendemos ni cedemos tus datos personales a terceros con fines comerciales.

6. Transferencias internacionales

Nuestra infraestructura principal se aloja en AWS EU-West-1 (Irlanda). Stripe puede procesar datos en EE.UU. bajo las Cláusulas Contractuales Tipo de la Comisión Europea y el EU-US Data Privacy Framework. Google puede tratar en EE.UU. los datos de la verificación reCAPTCHA, con las mismas garantías. Los datos de analítica de PostHog se tratan en la UE. La asistencia de IA usa Gemini en la multirregión UE de Google; solo si falla, la petición pasa a Amazon Bedrock en EE. UU. (us-east-1), al amparo de las Cláusulas Contractuales Tipo y del EU-US Data Privacy Framework.

7. Seguridad de los datos

Implementamos medidas técnicas y organizativas que incluyen:

Cifrado en tránsito (TLS 1.2+) y en reposo (AES-256 / KMS).
Claves GCP y de APIs de IA cifradas con AWS KMS.
Aislamiento multi-tenant: la organización sale siempre de la sesión verificada, nunca de la petición.
Registro de auditoría de acciones relevantes, en el que la aplicación solo añade entradas, conservado 12 meses.
Acceso de solo lectura a tus cuentas, salvo el rol de escritura del agente que tú concedas y las acciones que apruebes.

8. Conservación de datos

Cuenta activa: mientras mantengas tu suscripción activa.
Tras la cancelación o el fin de la prueba gratuita: 3 meses para exportación o reactivación, después revocación de los accesos a tus cuentas cloud y eliminación completa, incluidos los usuarios de tu equipo.
Si eliminas tu organización desde tu perfil: 14 días para cancelarlo, después eliminación completa, incluidos los usuarios de tu equipo.
Miembros que abandonan el equipo o son eliminados: su usuario se borra en el acto, salvo que pertenezca a otra organización o tenga una propia con datos.
Constancia de la aceptación de los Términos y de la información de privacidad: identificador interno, organización, versiones aceptadas y fecha, sin email ni nombre. Se conserva 5 años como prueba y después se borra.
Datos de facturación: 5 años por obligación fiscal.
Logs de seguridad: 12 meses.
Incidencias de soporte: 24 meses desde su cierre.

9. Tus derechos

Puedes ejercer los siguientes derechos en cualquier momento:

Acceso: solicitar copia de tus datos personales.
Rectificación: corregir datos inexactos.
Supresión: eliminar tu organización y sus datos desde tu perfil (o, si eres miembro, abandonarla y eliminar tu usuario), o solicitarlo por email.
Portabilidad: recibir tus datos en formato estructurado. El propietario puede descargarlos en cualquier momento desde su perfil (ZIP con ficheros JSON, sin credenciales ni secretos).
Oposición: oponerte al tratamiento basado en interés legítimo.
Limitación: solicitar la restricción del tratamiento.

Para ejercer estos derechos, escríbenos a compliance@aaa-sentinel.com. Responderemos en un plazo máximo de 30 días.

10. Cookies

Usamos almacenamiento esencial en el navegador (sesión Cognito, preferencia de idioma, cuenta/cliente seleccionados y tu elección del banner). No instalamos Google Analytics: las páginas públicas usan PostHog en modo sin cookies, que no guarda nada en tu navegador. Detalle en la Política de Cookies. Solo las páginas de registro, de recuperación de contraseña, de lista de espera y de contacto cargan Google reCAPTCHA, que puede usar sus propias cookies para prevenir abusos automatizados.

11. Cambios en esta política

Nos reservamos el derecho de modificar esta política. Notificaremos los cambios relevantes por email y publicaremos la nueva versión con la fecha de actualización.

12. Acceso interno de nuestro personal

Un equipo interno reducido de AAA Sentinel puede acceder a métricas agregadas de tu organización para operar la plataforma, facturar correctamente y dar soporte. Este acceso está sujeto a las siguientes garantías:

Principio de agregación: nunca accedemos al contenido de tus hallazgos, identificadores de tus recursos cloud, credenciales ni informes generados en tu cuenta. Solo vemos recuentos, sumas, medias y datos de facturación.
Autenticación reforzada: el personal interno se autentica con MFA obligatorio en un directorio de identidad separado del de clientes.
Registro de auditoría: cada acceso queda registrado, con quién, cuándo y qué se consultó.
Segregación de funciones: no todo el personal interno ve las mismas métricas; el acceso a datos económicos está restringido a roles concretos.
Sin acceso de suplantación (impersonation): el personal interno no puede iniciar sesión como tú. Si esta capacidad se habilita en el futuro, exigirá justificación, una ventana temporal limitada y notificación.

13. Contacto

Para cualquier consulta sobre privacidad: compliance@aaa-sentinel.com

14. Lista de espera y contactos comerciales

Si te apuntas a nuestra lista de espera, nos escribes por el formulario de contacto o mantenemos una relación profesional contigo, tratamos tus datos así:

Qué datos: nombre, email, rol, empresa, nubes, herramientas de IA y número de cuentas que nos indiques, idioma, y el origen de la visita (parámetros UTM y página de procedencia). De contactos profesionales que no se han apuntado: nombre, cargo, empresa y datos de contacto profesionales publicados por la propia persona o su empresa.
Para qué: avisarte de la apertura del producto e invitarte, enviarte novedades del producto si lo aceptaste y, si al apuntarte aceptaste también la newsletter quincenal, enviártela, y mantener una relación comercial con empresas y partners.
Base jurídica: tu consentimiento, confirmado con un segundo clic en el correo que te enviamos (lista de espera); nuestro interés legítimo en la relación entre empresas (contactos profesionales), al que puedes oponerte en cualquier momento.
Cuánto tiempo: si no confirmas, 7 días. Lista de espera sin registro posterior, 12 meses desde el último contacto. Oportunidades comerciales cerradas, 24 meses.
Dónde y quién: en la Unión Europea (AWS, Irlanda), cifrados. No se venden ni se ceden. Solo accede personal autorizado de AAA Sentinel y cada acceso queda registrado.
Tus derechos: baja con un clic desde cualquier correo; acceso, rectificación, supresión, oposición y portabilidad escribiendo a compliance@aaa-sentinel.com. Tras una supresión conservamos únicamente una huella irreversible de tu email y, si tus datos procedían de nuestra investigación de contactos profesionales, del identificador interno de ese registro, para no volver a contactarte ni volver a incorporarte.