Legal · RGPD · LOPDGDD
Política de privacidad
Qué datos tratamos, con qué base, quién nos ayuda a tratarlos, cuánto tiempo los guardamos y cómo ejercer tus derechos.
Última actualización: 24 de octubre de 2026 · 11 apartados
1Responsable del tratamiento
- Responsable
- Hosteate Solutions S.L.
- CIF
- B16404378
- Domicilio
- Calle Montserrat Roig, 13 · P. 3 Pta. 1 · 08850 Gavà (Barcelona), España
- Privacidad
- hola@hackealo.es
- Soporte
- soporte@hackealo.es
Hosteate Solutions S.L. presta el servicio bajo la marca «Hackéalo» y es la responsable de los datos personales que se tratan en esta web y en el panel del cliente.
2Qué datos tratamos
| Categoría | Qué incluye | De dónde sale |
|---|---|---|
| Cuenta | Tu dirección de correo electrónico. No pedimos contraseña: entras con un código o un enlace que te enviamos al correo. | Lo escribes tú al entrar. |
| Datos técnicos | Dirección IP, fecha y hora de cada petición, navegador y el identificador de sesión. | Tu navegador, al usar la web. |
| Verificación de titularidad | El dominio que quieres revisar y el registro DNS (TXT) que colocas para demostrar que es tuyo. | Lo indicas tú; el registro lo leemos del DNS público. |
| Autorización y alcance | Qué alcance aceptaste, cuándo, desde qué IP y con qué sesión. Es el rastro que demuestra que la prueba se hizo con permiso. | Se genera cuando aceptas el alcance. |
| Código fuente | Si conectas un repositorio, una copia temporal del código necesaria para analizarlo y preparar el arreglo. | Lo autorizas tú desde GitHub. |
| Hallazgos | Los problemas de seguridad confirmados, su gravedad, la explicación y, según el plan, la propuesta de arreglo. | Los produce el servicio. |
| Facturación | Nombre o razón social, NIF, dirección fiscal e importe pagado. Los datos de tu tarjeta los trata exclusivamente la entidad de pago; nosotros nunca los vemos. | Los das al contratar un plan de pago. |
No tratamos categorías especiales de datos ni hacemos perfiles. No hay herramientas de analítica ni de publicidad en esta web (ver política de cookies).
3Para qué y con qué base jurídica
| Finalidad | Base jurídica (art. 6 RGPD) |
|---|---|
| Crear y mantener tu cuenta, verificar tus dominios, ejecutar las revisiones y mostrarte los hallazgos y los arreglos. | Ejecución del contrato (art. 6.1.b): sin estos datos el servicio no se puede prestar. |
| Realizar la prueba de seguridad sobre tus sistemas y, si lo pides, acceder a tu repositorio. | Ejecución del contrato junto con tu autorización expresa como titular (apartado 4). Sin esa autorización, nada empieza. |
| Enviarte los códigos de acceso y los avisos del servicio (una revisión que termina, un arreglo listo). | Ejecución del contrato: son comunicaciones necesarias, no publicidad. |
| Cobrar los planes de pago, emitir facturas y conservarlas. | Obligación legal (art. 6.1.c): normativa fiscal y mercantil. |
| Guardar el rastro de cada autorización y cada acción; detectar y prevenir abusos e intentos de usar el servicio sobre sistemas ajenos. | Interés legítimo (art. 6.1.f): proteger a terceros, a la plataforma y poder demostrar que sólo actuamos con permiso. Hemos valorado que ese interés no perjudica tus derechos: son datos que ya nos has dado para prestar el servicio. |
| Contarte novedades del servicio por correo. | Consentimiento (art. 6.1.a), sólo si lo aceptas. Puedes retirarlo cuando quieras y no afecta al servicio. |
Nada de lo que vemos en tu web o en tu código se usa para entrenar modelos ni se cede a nadie para que lo haga.
4La autorización para la prueba de seguridad
Una prueba de seguridad sólo es lícita si la pide quien puede autorizarla. Por eso, antes de cada revisión:
- Verificas que el dominio es tuyo colocando un registro DNS que sólo su titular puede colocar.
- Si quieres que revisemos código, conectas tú el repositorio desde tu cuenta de GitHub y eliges a cuáles damos acceso.
- Lees y aceptas expresamente el alcance de la prueba: qué se va a revisar y qué no.
Esa aceptación queda registrada con fecha, hora, IP y sesión. La guardamos porque es la prueba de que actuamos con tu permiso, y la aportaríamos si una autoridad lo requiriese. Puedes retirar la autorización en cualquier momento desde el panel: las revisiones en curso se detienen y no se inician nuevas, aunque lo ya realizado no se deshace.
5Quién nos ayuda a tratarlos (encargados)
No vendemos tus datos ni los cedemos a nadie para su propia publicidad. Sólo los tratan, por cuenta nuestra y bajo contrato de encargo del tratamiento (art. 28 RGPD), estos proveedores:
| Encargado | Para qué | Qué datos ve |
|---|---|---|
| Resend | Envío del correo transaccional: códigos y enlaces de acceso, avisos del servicio. | Tu dirección de correo y el contenido de esos mensajes. |
| GitHub | Acceso a los repositorios que autorizas y publicación de los arreglos como propuestas de cambio. | La identidad de tu cuenta de GitHub, los repositorios autorizados y las propuestas de cambio. |
| Stripe | Cobro de los planes de pago y gestión de la suscripción. | Correo, datos de facturación, importe y los datos de la tarjeta, que sólo trata Stripe como entidad de pago autorizada. |
| Cloudflare | DNS y red de distribución (CDN) delante de hackealo.es; protección frente a ataques. | Dirección IP y metadatos técnicos de cada petición. |
Estos proveedores pueden tratar datos fuera de la Unión Europea, en particular en Estados Unidos. Cuando es así, la transferencia se ampara en el Marco de Privacidad de Datos UE–EE. UU. o en las cláusulas contractuales tipo aprobadas por la Comisión Europea, según el proveedor. Si quieres el detalle de las garantías de cada uno, pídenoslo.
Además de los encargados, podemos comunicar datos a las administraciones públicas, juzgados o fuerzas de seguridad cuando una ley nos obligue a ello.
6Dónde están tus datos
El servicio, su base de datos, los hallazgos y las copias temporales de código se procesan y guardan en un servidor propio situado en Madrid (España, Unión Europea). Las únicas salidas de la UE son las que hacen los encargados del apartado anterior para la función concreta que tienen encomendada.
7Cuánto tiempo los guardamos
| Dato | Plazo |
|---|---|
| Código fuente clonado | Sólo mientras dura la tarea de análisis o de preparación del arreglo. Se borra al terminar; no se conserva ninguna copia. |
| Sesión | Caduca a los 30 días sin uso, o antes si cierras sesión. |
| Cuenta, dominios verificados y hallazgos | Mientras tengas cuenta. Si la cierras, se eliminan en un plazo máximo de 30 días, salvo lo que debamos conservar por los puntos siguientes. |
| Rastro de autorizaciones y alcance aceptado | Hasta 5 años desde la última acción, que es el plazo general de prescripción de las acciones personales (art. 1964 del Código Civil), para poder demostrar que la prueba fue autorizada. |
| Facturas y datos de facturación | Los plazos que exigen la normativa fiscal y mercantil (como regla, 4 y 6 años respectivamente). |
| Registros técnicos (IP, peticiones) | Hasta 12 meses, por seguridad de la plataforma. |
8Datos de otras personas en tu web o tu código
Al revisar tu web o tu repositorio podemos encontrarnos con datos personales de tus usuarios o clientes (por ejemplo, en una base de datos expuesta o en el código). Respecto a esos datos tú eres el responsable y nosotros actuamos como encargados: sólo los tratamos para describir y confirmar el problema, no los extraemos, no los copiamos más allá de lo imprescindible y se eliminan con la copia temporal al terminar la tarea. Si contratas un plan, estas condiciones y las condiciones de contratación hacen las veces de contrato de encargo.
9Tus derechos
Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar el consentimiento que hayas dado, escribiendo a hola@hackealo.es desde el correo de tu cuenta o indicándolo. Te contestamos en el plazo máximo de un mes.
Si crees que no hemos tratado bien tus datos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD, aepd.es, C/ Jorge Juan, 6 · 28001 Madrid). Te agradeceríamos poder resolverlo antes contigo.
10Seguridad
Aplicamos medidas técnicas y organizativas acordes al riesgo: acceso al servidor sólo por red privada, cifrado en tránsito, sesiones con cookie protegida (ver cookies), entrada sin contraseñas que robar, secretos fuera del código, copias temporales de código que se destruyen al terminar y registro de cada acción. Si se produjera una brecha que afecte a tus datos, te lo comunicaríamos y, cuando proceda, lo notificaríamos a la AEPD en 72 horas.
11Cambios en esta política
Si cambiamos esta política, publicaremos la nueva versión aquí con su fecha y, si el cambio afecta a cómo tratamos tus datos, te lo avisaremos por correo antes de que entre en vigor.
Hosteate Solutions S.L. · CIF B16404378 · Gavà (Barcelona)