Política de privacidad

El responsable del tratamiento de los datos personales descritos en la presente Política es Osaühing Ida Portal, sociedad de responsabilidad limitada inscrita en el Registro Mercantil de la República de Estonia con el número de registro 10970449, domicilio social: Kivilinna tn 18-49, 20604 Narva, Ida-Viru maakond, Estonia (el «Operador», «nosotros»). El Operador presta sus servicios bajo el nombre Security Test Team.

Las preguntas y solicitudes relativas a los datos personales se envían a info@securitytest.team. El Operador no ha designado un delegado de protección de datos.

La presente Política se aplica al sitio web securitytest.team en todas sus versiones lingüísticas (el «Sitio Web»), a los formularios del Sitio Web, a la plataforma de bug bounty que el Operador gestiona en el Sitio Web (la «Plataforma») y a la correspondencia con el Operador.

La presente Política no se aplica a los datos personales que el Operador pueda encontrar en los sistemas de un cliente mientras realiza una comprobación o una evaluación de seguridad, ni a los que contenga el informe de un investigador. Dichos datos se tratan por cuenta del cliente o del propietario de un programa, que es su responsable del tratamiento, con arreglo al contrato y a las cláusulas sobre tratamiento de datos de las Condiciones de la comprobación gratuita de seguridad web y de las Condiciones de la plataforma de bug bounty para propietarios.

El Operador trata los datos personales de conformidad con el Reglamento (UE) 2016/679 (el «RGPD») y la Ley de Protección de Datos Personales de la República de Estonia. Las leyes citadas en la presente Política sin indicación de un Estado son leyes de la República de Estonia.

Visita del Sitio Web. El propio Operador no recoge datos personales del visitante que lee el Sitio Web: el Sitio Web no instala cookies, no lleva registros propios de visitantes, no elabora perfiles y no contiene tecnologías analíticas ni publicitarias. El proveedor de alojamiento, Cloudflare, Inc., trata la dirección IP y los datos técnicos de cada petición en la medida necesaria para entregar las páginas y proteger el servicio contra ataques.

Formularios del Sitio Web. Cuando usted envía una solicitud de un servicio, una solicitud de publicación de un programa o una solicitud de registro como investigador, el Operador trata:

1. (a)datos de identificación y de contacto: nombre, dirección de correo electrónico, organización, cargo, el canal de comunicación preferido y la cuenta o el número en ese canal;
2. (b)el contenido de la solicitud: los servicios de interés, la dirección del sitio web o del sistema, el inicio deseado, las recompensas y la visibilidad de un programa, y el texto de la solicitud;
3. (c)los datos de un investigador: el país de residencia, el enlace a un perfil público y la descripción de la experiencia;
4. (d)sus confirmaciones: que tiene derecho a encargar las pruebas de los sistemas indicados en la solicitud y actúa en el ejercicio de su actividad empresarial o profesional, que es mayor de edad y que acepta las condiciones de la Plataforma, junto con la versión de las condiciones que ha aceptado y la versión de la presente Política mostrada junto al formulario;
5. (e)datos técnicos de la solicitud: la hora, la lengua de la página, la página desde la que se envió el formulario, los parámetros de campaña contenidos en la dirección de esa página, el país deducido de la dirección IP y el inicio de la cadena de identificación del navegador;
6. (f)un hash con clave de la dirección IP. El Operador no almacena la propia dirección IP, y esta no puede reconstruirse a partir del hash sin una clave que se conserva separada de los datos.

Correspondencia. Cuando usted escribe al Operador por correo electrónico o a través de un servicio de mensajería, el Operador trata su dirección o su cuenta, el contenido de los mensajes y la hora en que se enviaron.

Contrato. Cuando se celebra un contrato, el Operador trata los nombres, cargos y datos de contacto de los firmantes y de las personas de contacto del cliente, los datos contenidos en la autorización para realizar las pruebas y en los documentos que confirman la propiedad de un sistema, y los datos de las facturas y los pagos.

Plataforma, investigadores. Cuando un investigador participa en los programas, el Operador trata los informes del investigador, la correspondencia sobre ellos y el nombre que el investigador ha elegido. Antes del primer pago, trata también la información enumerada en la sección 4, las declaraciones del investigador sobre el Estado de residencia fiscal, el Estado en el que se realiza la investigación y el beneficiario, el resultado de la comprobación de la identidad y de las comprobaciones en las listas de sanciones internacionales, y los datos de los pagos. Cuando el beneficiario es una persona jurídica, el Operador trata también los datos de sus representantes y de las personas que poseen el 50 % o más de ella o la controlan.

Plataforma, propietarios. Cuando se verifica al propietario de un programa, el Operador trata los datos de sus representantes y de las personas que poseen el 50 % o más de él o lo controlan, los datos de los documentos que confirman el derecho a representarlo y su control sobre los sistemas del programa, el resultado de las comprobaciones en las listas de sanciones internacionales y, en el caso de un propietario que sea persona física, el resultado de la comprobación de la identidad.

El Operador también recibe datos personales de fuentes distintas del propio interesado:

1. (a)de un cliente o de un propietario: los nombres, cargos y datos de contacto de sus representantes, firmantes y personas de contacto;
2. (b)de un solicitante: los datos de otras personas indicadas en la solicitud;
3. (c)de un investigador: los datos de los representantes de un beneficiario que sea persona jurídica y de las personas que lo poseen o controlan;
4. (d)de registros públicos, que son de acceso público: los representantes de un propietario o de un beneficiario y las personas que lo poseen o controlan;
5. (e)de la página que un investigador enlaza en una solicitud, que es de acceso público: los datos del perfil público;
6. (f)de las listas públicas de sanciones internacionales: si una persona figura en ellas;
7. (g)de las interfaces electrónicas de la Unión Europea y de los Estados miembros: si un número de identificación fiscal o un número de identificación a efectos del IVA es válido.

Cuando el Operador se pone en contacto con una persona cuyos datos ha recibido de otra fuente, le remite a la presente Política, a más tardar, en su primera comunicación.

El Operador no solicita categorías especiales de datos personales, datos relativos a condenas penales, contraseñas ni claves de acceso, y le pide que no los envíe a través de los formularios ni por correo electrónico.

La comunicación de datos personales a través de un formulario no es un requisito legal ni contractual; sin los datos marcados como obligatorios, el Operador no puede responder a la solicitud. La información que un investigador facilita antes del primer pago (sección 4) es exigida por la ley y por las Condiciones de la plataforma de bug bounty para investigadores; sin ella no se paga ninguna recompensa.

El Operador trata los datos personales para los fines siguientes y sobre las bases jurídicas siguientes:

El Operador no toma decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos en usted o le afecten significativamente de modo similar, no elabora perfiles, no utiliza los datos personales con fines publicitarios y no vende datos personales.

El Operador no trata datos personales para fines incompatibles con los enumerados en la presente sección.

El Operador es un operador de plataforma obligado a comunicar información conforme a la Directiva 2011/16/UE del Consejo, modificada por la Directiva (UE) 2021/514 del Consejo, y al capítulo 2⁴ de la Ley de Intercambio de Información Tributaria. La presente sección informa a cada investigador y a cada beneficiario de que se recoge y se comunica información sobre ellos, tal como exige el artículo 25, apartado 4, de dicha Directiva.

Antes del primer pago, el Operador recoge la información siguiente sobre cada investigador y cada beneficiario que sea persona física, y registra las recompensas que se les pagan:

1. (a)el nombre y los apellidos, la dirección principal y la fecha de nacimiento;
2. (b)cada número de identificación fiscal y el Estado que lo expidió o, si no se ha expedido ninguno, el lugar de nacimiento;
3. (c)el número de identificación a efectos del IVA, si se ha expedido;
4. (d)en el caso de un empresario individual, el registro en el que está inscrita la actividad y su número de registro;
5. (e)el identificador de la cuenta en la que se pagan las recompensas y el nombre de su titular;
6. (f)las recompensas pagadas en cada trimestre y el número de informes por los que se pagaron.

El Operador verifica la información con los documentos que recibe, con los registros públicos y con las interfaces electrónicas que la Unión Europea y los Estados miembros ponen a disposición gratuitamente para comprobar los números de identificación fiscal y los números de identificación a efectos del IVA.

Cada año, a más tardar el 31 de enero del año siguiente, el Operador comunica esta información sobre los investigadores y los beneficiarios residentes en un Estado miembro de la Unión Europea, o en una jurisdicción incluida en la lista de la Administración de Impuestos y Aduanas de Estonia, a la Administración de Impuestos y Aduanas de Estonia. Esta la intercambia con las autoridades tributarias del Estado o los Estados de residencia.

Antes de que se comunique la información, y a más tardar el 31 de enero, el Operador facilita a cada persona la información sobre ella que va a comunicar, de modo que pueda ejercer a tiempo los derechos de la sección 9.

La información es exigida por la ley y por las Condiciones de la plataforma de bug bounty para investigadores. Una recompensa solo se paga después de que se haya facilitado y comprobado la información.

Dentro del Operador, tienen acceso a los datos personales los gestores que responden a las solicitudes y los especialistas que preparan propuestas, examinan informes y ejecutan contratos, en la medida en que lo requieran sus funciones.

El propietario de un programa recibe los informes sobre sus sistemas con el nombre que el investigador ha elegido. El Operador no revela la identidad de un investigador a un propietario sin el consentimiento del investigador, salvo que el investigador haya actuado fuera del programa o de las reglas de la Plataforma y el propietario necesite la identidad para la formulación, el ejercicio o la defensa de reclamaciones, o que la ley exija revelarla.

El Operador comunica datos personales a los destinatarios siguientes:

Cuando el Operador trata datos personales por cuenta de un cliente o del propietario de un programa, tal como se describe en la sección 1, recurre a un único subencargado del tratamiento: Cloudflare, Inc., Estados Unidos, para el alojamiento y el almacenamiento de datos en la Unión Europea. El Operador no envía dichos datos por correo electrónico ni a través de servicios de mensajería y no los guarda en su buzón: los informes y las evidencias se intercambian a través del canal seguro indicado en el contrato.

El Operador comunica datos personales a tribunales, autoridades de control y autoridades policiales únicamente cuando la ley le obliga a ello, y solo en la medida exigida.

Los destinatarios de la sección 5 establecidos fuera de Estonia, y las bases con arreglo a las cuales se les transfieren datos personales fuera del Espacio Económico Europeo, son los siguientes:

La base de datos de solicitudes se almacena en la Unión Europea. El Sitio Web, los formularios, la verificación contra abusos y el tratamiento del correo electrónico funcionan en la red global de Cloudflare, que incluye centros de datos fuera del Espacio Económico Europeo.

A través de un servicio de mensajería, el Operador solo acuerda los pasos siguientes. Las credenciales, las claves y los detalles de vulnerabilidades se intercambian únicamente a través del canal seguro acordado con usted.

Se facilita una copia de las garantías aplicables a una transferencia concreta previa solicitud enviada a info@securitytest.team.

Una solicitud enviada a través de un formulario se almacena durante 365 días desde el día de su recepción y después se suprime automáticamente. Durante un máximo de siete días después de su supresión permanece en el historial de recuperación de la base de datos, Cloudflare D1 Time Travel, desde el que solo puede restaurarse restaurando toda la base de datos a un momento anterior. El Operador suprime la copia de una solicitud entregada en su buzón dentro del mismo plazo; después, Google puede conservar la copia suprimida durante los plazos indicados en su propia política de privacidad. El Operador mantiene desactivadas las vistas previas de Cloudflare Email Service; esa función conservaría una copia de cada mensaje enviado durante unos siete días.

La correspondencia que no haya dado lugar a un contrato se suprime a más tardar 365 días después del último mensaje.

Cuando una solicitud da lugar a una prueba de seguridad, el Operador traslada la confirmación de facultades dada en la solicitud al expediente del contrato. Dicha confirmación y la autorización firmada para realizar las pruebas se conservan con el contrato hasta que venzan los plazos de prescripción de las reclamaciones y de las infracciones relacionadas con la prueba y, en todo caso, durante al menos cinco años después de la prueba.

Los datos de un investigador y de un propietario se conservan durante la vigencia del contrato y, después, durante los plazos de la presente sección. El Operador no conserva ninguna copia de un documento de identidad; conserva el registro de la comprobación de la identidad junto con la información de la sección 4.

La información de la sección 4 y los registros de las medidas adoptadas para recogerla y verificarla se conservan al menos durante el año natural en curso y los seis años naturales anteriores, y no más de diez años (artículo 8, apartado 3, de la Ley de Intercambio de Información Tributaria). El registro de una comprobación en las listas de sanciones internacionales se conserva con los documentos del pago al que precedió.

Los documentos contables y tributarios se conservan durante los plazos siguientes; cuando a un documento se apliquen varios plazos, se aplica el más largo:

1. (a)los justificantes contables, como las facturas y los documentos de los pagos: siete años desde el final del ejercicio en el que la operación se registró en la contabilidad (artículo 12, apartado 1, de la Ley de Contabilidad);
2. (b)los contratos, libros, informes y demás documentos empresariales necesarios para reconstruir las operaciones: siete años desde el final del ejercicio al que se refieren (artículo 12, apartado 2, de la Ley de Contabilidad);
3. (c)los documentos relativos a derechos y obligaciones a largo plazo, como los contratos con clientes, propietarios e investigadores y las licencias sobre informes: siete años después de su extinción (artículo 12, apartado 3, de la Ley de Contabilidad);
4. (d)las facturas: siete años desde su emisión o recepción (artículo 36 de la Ley del Impuesto sobre el Valor Añadido);
5. (e)los demás documentos relevantes a efectos tributarios: siete años desde el 1 de enero del año siguiente a su elaboración o recepción (artículo 58 de la Ley de Tributación).

Los datos necesarios para la formulación, el ejercicio o la defensa de una reclamación se conservan hasta que la reclamación se haya resuelto definitivamente y, en otro caso, hasta que haya vencido su plazo de prescripción.

El Sitio Web no instala cookies ni almacena nada en su dispositivo. La verificación automática contra abusos de los formularios la presta Cloudflare Turnstile. Solo se inicia cuando usted empieza a completar un formulario o lo envía. Lo que almacena y lee en su dispositivo se describe en la Política de cookies.

En la medida y en las condiciones establecidas en el RGPD, usted tiene derecho:

1. (a)a obtener confirmación de si se están tratando o no sus datos personales, a acceder a ellos y a obtener una copia (artículo 15);
2. (b)a obtener la rectificación de los datos inexactos y que se completen los datos incompletos (artículo 16);
3. (c)a obtener la supresión de sus datos (artículo 17);
4. (d)a obtener la limitación del tratamiento (artículo 18);
5. (e)a recibir los datos que haya facilitado en un formato estructurado, de uso común y de lectura mecánica, y a transmitirlos a otro responsable del tratamiento (artículo 20);
6. (f)a oponerse, por motivos relacionados con su situación particular, al tratamiento basado en un interés legítimo (artículo 21);
7. (g)a retirar el consentimiento en cualquier momento, cuando el tratamiento se base en él. La retirada no afecta a la licitud del tratamiento realizado antes de ella (artículo 7, apartado 3).

Para ejercer un derecho, escriba a info@securitytest.team y, si ha enviado una solicitud a través de un formulario, indique su referencia. El Operador puede pedirle la información necesaria para confirmar su identidad. Por regla general, confirma su identidad a través de la dirección o la cuenta que conoce por su solicitud o su correspondencia, y no pide una copia de un documento de identidad.

El Operador responde en el plazo de 28 días desde la recepción de la solicitud. Cuando la complejidad o el número de solicitudes lo requiera, el plazo puede prorrogarse hasta dos meses más de conformidad con el artículo 12, apartado 3, del RGPD; se le informa de la prórroga y de sus motivos dentro del plazo inicial. El ejercicio de los derechos es gratuito.

Tiene derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro de su residencia habitual, de su lugar de trabajo o del lugar de la supuesta infracción. La autoridad de control del Operador es la Inspección de Protección de Datos de Estonia (Andmekaitse Inspektsioon), Tatari 39, 10134 Tallinn, Estonia, info@aki.ee, www.aki.ee.

El Operador aplica medidas técnicas y organizativas adecuadas al riesgo, entre ellas las siguientes:

1. (a)el Sitio Web y los formularios se sirven únicamente a través de conexiones cifradas;
2. (b)el servicio que almacena las solicitudes no es accesible desde internet y solo acepta datos del Sitio Web;
3. (c)las direcciones IP se almacenan como hashes con clave;
4. (d)el acceso a las solicitudes almacenadas se limita a las personas que las responden;
5. (e)las solicitudes se suprimen automáticamente al vencer el plazo de conservación.

Las medidas que protegen la información de los clientes se describen en la Política de seguridad de la información.

El Sitio Web está dirigido a organizaciones y a personas que actúan en el ejercicio de su actividad empresarial o profesional. El Operador no trata a sabiendas datos personales de menores de edad.

La versión de la presente Política es la fecha a partir de la cual se aplica. La versión vigente es 2026-09-29.

Una solicitud registra la versión de la presente Política mostrada junto al formulario en el momento en que se envió la solicitud, como constancia de la información que se facilitó al solicitante. Este registro no es un consentimiento.

El Operador publica las modificaciones en esta página. Una modificación no se aplica al tratamiento que haya finalizado antes de que la modificación surtiera efecto.