Política de privacidad de la plataforma Prufy

Titular	Prufy Technologies, S.L.
NIF	En trámite
Domicilio a efectos de notificaciones	C. la Tesilla 6, 39012 Santander, Cantabria
Contacto	hola@prufy.io

Para cualquier cuestión sobre tus datos, escríbenos a hola@prufy.io.

Prufy es una plataforma para organizaciones. Tu organización te da acceso y decide qué se audita y qué datos se cargan. Por eso hay dos papeles:

• Prufy es responsable de los datos de tu cuenta y de los registros de seguridad: los que necesitamos para que entres, para saber a qué organización perteneces y para proteger la plataforma. Esta política trata sobre ellos.
• Tu organización es responsable del contenido de auditoría: proyectos, notebooks, documentos, archivos, pruebas, hallazgos, informes y las personas que aparecen en ellos. Prufy los trata como encargado, siguiendo sus instrucciones y el acuerdo de encargo que firmamos con ella. Para ejercer tus derechos sobre ese contenido, dirígete a tu organización; si nos escribes, le trasladaremos tu petición.

• Identidad de tu cuenta, que recibimos del proveedor con el que inicias sesión: Google o Microsoft (Microsoft Entra ID, tanto cuentas de trabajo o centro educativo como cuentas personales de Microsoft). Solo pedimos los permisos básicos de inicio de sesión (openid, email y profile). Recibimos el identificador estable de tu cuenta (en Microsoft, junto con el del directorio de tu organización), tu nombre, tu correo y si el proveedor ha verificado ese correo (en las cuentas de trabajo de Microsoft, si el dominio del correo está verificado). Solo los usamos para autenticarte: guardamos el identificador y el correo verificado; el nombre que recibimos no se guarda y el que se muestra es el de tu perfil en Prufy. No recibimos ni guardamos tu contraseña.

• Sesión: al entrar creamos una sesión. En la base de datos guardamos solo un resumen criptográfico (hash) de su identificador, tu identidad, el proveedor, tu correo y las fechas de inicio, última actividad y caducidad. La sesión caduca tras 12 horas sin actividad y, en todo caso, a los 7 días.

• Pertenencia y rol: a qué organización perteneces, tu rol (Administrador o Auditor), los permisos asociados y el estado de tu acceso (activo, suspendido o revocado).

• Invitaciones: tu correo, la organización y el rol al que se te invita, quién te invitó, la fecha de caducidad y el estado de la invitación. Si tu organización te invita, te enviamos un correo con el enlace de acceso.

• Último acceso: la fecha y hora de tu última actividad en cada organización, que los miembros de esa organización ven en la pantalla Personas.

• Registros de actividad y de seguridad: qué acción se hizo, sobre qué elemento, quién la hizo y cuándo (por ejemplo, crear un notebook, revisar un resultado, invitar o revocar a una persona), y los registros técnicos de las peticiones al servicio.

• Cookies técnicas, estrictamente necesarias para el servicio. Todas son propias de app.prufy.io (prefijo __Host-, solo por conexión segura e inaccesibles para el código de la página):

  Cookie	Para qué sirve	Duración
  __Host-prufy-session	Mantener tu sesión iniciada (identificador aleatorio de la sesión)	Hasta 7 días; se borra al cerrar la sesión
  __Host-prufy-oidc	Estado temporal del inicio de sesión con Google o Microsoft (valores aleatorios de un solo uso para comprobar la respuesta del proveedor)	10 minutos; se borra al volver del proveedor
  __Host-prufy-org	Recordar la organización con la que estás trabajando	1 año
  __Host-prufy-alta	Solo al dar de alta al primer dueño de una organización: una huella breve que permite a Prufy confirmar el alta	10 minutos

  La plataforma no usa cookies de analítica ni de publicidad, ni cookies de terceros.

• Almacenamiento local del navegador: la plataforma guarda en tu navegador preferencias técnicas (como el tema o el estado de la barra lateral) y borradores sin guardar. No se envían a Prufy por sí solos y puedes borrarlos desde tu navegador.

Finalidad	Base legal
Darte acceso, identificarte y aplicar tu rol y tus permisos	Ejecución del contrato con tu organización y nuestro interés legítimo en prestarle el servicio que ha contratado (art. 6.1.b y 6.1.f RGPD)
Enviarte la invitación de tu organización	Interés legítimo de tu organización y nuestro en que puedas incorporarte (art. 6.1.f RGPD)
Mostrar a tu organización quién es miembro, con qué rol y su último acceso	Interés legítimo de tu organización en gestionar quién accede a su información (art. 6.1.f RGPD)
Registrar la actividad y proteger la plataforma: detectar accesos indebidos, investigar incidentes y dejar constancia de quién decide qué	Interés legítimo en la seguridad y la trazabilidad del servicio (art. 6.1.f RGPD) y, cuando proceda, cumplimiento de obligaciones legales (art. 6.1.c RGPD)
Atender tus consultas y el ejercicio de tus derechos	Cumplimiento de obligaciones legales (art. 6.1.c RGPD)

No tomamos decisiones automatizadas con efectos jurídicos sobre ti. Las propuestas de inteligencia artificial de la plataforma son borradores: la validación final corresponde a la persona auditora.

Nos apoyamos en proveedores que actúan como encargados: Google Cloud aloja la plataforma en Bélgica (europe-west1); Google Workspace envía los correos de invitación; y, cuando usas el asistente de IA, OpenRouter encamina la petición al modelo Anthropic Claude, que se ejecuta en Google Vertex AI. La lista completa, con su ubicación, se facilita a cada organización cliente y a quien la pida en hola@prufy.io.

El proveedor con el que inicias sesión (Google o Microsoft) trata tus datos como responsable independiente, según sus propias condiciones. Solo nos comunica los datos de la sección 03, y solo los usamos para autenticarte.

No vendemos tus datos ni los cedemos a terceros para sus propios fines. Solo los comunicaremos a autoridades cuando la ley lo exija.

La plataforma, su base de datos, sus archivos y sus copias de seguridad se alojan en la Unión Europea. Los registros técnicos del servicio (Google Cloud Logging) se guardan en la ubicación global de Google, que no está fijada en la UE. Algunos proveedores están establecidos en Estados Unidos o pueden tratar datos allí:

• OpenRouter, Inc. (Estados Unidos) recibe el contenido de cada petición de IA y la encamina al modelo, que puede ejecutarse fuera del EEE. En cada petición le pedimos que solo intervengan proveedores que no conserven ni usen los datos (data_collection: deny y zdr). Esta transferencia se ampara en las cláusulas contractuales tipo de la Comisión Europea.
• Google puede tratar datos fuera del EEE para algunos servicios de soporte y para los registros técnicos de ubicación global; esas transferencias se amparan en las cláusulas contractuales tipo de Google.

Los datos de tu cuenta no se envían al modelo de IA: al modelo solo le llega el contenido necesario para cada petición, con los correos enmascarados y los sujetos conocidos seudonimizados, sin tu identidad ni ningún identificador de usuario.

• Cuenta, pertenencia y rol: mientras tengas acceso a alguna organización. Cuando tu organización revoca tu acceso, tu cuenta deja de poder entrar y conservamos la constancia de la revocación junto al registro de actividad.
• Invitaciones: las invitaciones a la organización caducan a los 30 días si no se aceptan, y las de un notebook concreto, a los 7; conservamos su constancia junto al registro de actividad.
• Registros de actividad: mientras esté vigente el contrato con tu organización, porque forman parte de la trazabilidad de su trabajo de auditoría, y se suprimen con el resto de sus datos al acabar el plazo de devolución. Solo conservaremos, bloqueados, los registros de seguridad necesarios para atender posibles reclamaciones, durante el plazo de prescripción de las acciones correspondientes.
• Sesiones: caducan tras 12 horas sin actividad o, como máximo, a los 7 días; las caducadas se eliminan cuando vuelves a entrar.
• Registros técnicos del servicio (Google Cloud Logging): 30 días los registros ordinarios; los registros de auditoría que Google conserva obligatoriamente, 400 días (plazo fijado por Google).
• Copias de seguridad: la base de datos hace una copia automática diaria y conserva las 14 más recientes, además de los registros de transacciones necesarios para recuperarla a cualquier momento de los últimos 7 días. Antes de cada cambio en la estructura de la base de datos se hace además una copia a demanda.

Puedes acceder a tus datos, rectificarlos, suprimirlos, oponerte al tratamiento, limitarlo y pedir su portabilidad escribiendo a hola@prufy.io. Si tus datos forman parte del contenido de auditoría de una organización, la respuesta le corresponde a ella y le trasladaremos tu petición. Ten en cuenta que, mientras sigas siendo miembro, necesitamos los datos de tu cuenta para darte acceso.

También puedes reclamar ante la Agencia Española de Protección de Datos en aepd.es.

La plataforma aplica medidas técnicas y organizativas proporcionadas: datos alojados en la UE (salvo los registros técnicos, de ubicación global) y cifrados en reposo y en tránsito, acceso solo para personas invitadas, aislamiento de los datos de cada organización en la base de datos, permisos mínimos por rol y registro de la actividad. El detalle está en el Anexo II del acuerdo de encargo de tratamiento.

Si esta política cambia, publicaremos aquí la versión vigente con su fecha de actualización. Los cambios relevantes se comunicarán por un medio visible.