Política de privacidad

1. Responsable del tratamiento

Responsable en el sentido del RGPD:

Erle-IT
Titular: Lennart Erhard
Obere Bahnhofstraße 9
85604 Zorneding
Tel.: +49 8106 928 9493
Correo electrónico: security@plugthebug.de

Para preguntas sobre protección de datos, solicitudes de acceso y oposiciones puede contactar directamente con nosotros en security@plugthebug.de.

2. Lo más importante en resumen

• Este sitio web no utiliza cookies ni guarda nada en su navegador.
• No utilizamos servicios de seguimiento, análisis ni marketing, y no integramos contenidos de terceros (ni fuentes externas, ni mapas, ni vídeos).
• Los datos de los formularios no se recopilan en una base de datos del sitio web, sino que se nos envían por correo electrónico. Las excepciones (enlaces de confirmación, pruebas de consentimiento, protección contra abusos) se describen más abajo.

3. Alojamiento y registros del servidor

Este sitio web funciona en un servidor propio alojado en Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen. Hetzner proporciona exclusivamente la infraestructura de servidores y, como proveedor de servicios de centro de datos, es encargado del tratamiento conforme al art. 28 del RGPD. El servidor se encuentra en Alemania.

Al acceder al sitio web, su navegador transmite automáticamente los siguientes datos al servidor:

• Dirección IP del ordenador que realiza la solicitud
• Fecha y hora del acceso
• Nombre y URL del archivo consultado
• URL de referencia (sitio web visitado anteriormente)
• Navegador y sistema operativo utilizados

Estos datos se guardan en archivos de registro del servidor y se eliminan automáticamente al cabo de 14 días como máximo. Los contenidos de los formularios no se registran; los registros de errores de los formularios no contienen datos personales. La base jurídica es el art. 6, apdo. 1, frase 1, letra f) del RGPD (interés legítimo en la seguridad del funcionamiento y en el diagnóstico de errores).

4. Cifrado SSL/TLS

Por motivos de seguridad y para proteger la transmisión, este sitio web utiliza cifrado SSL/TLS. Puede reconocer una conexión cifrada porque la barra de direcciones del navegador empieza por «https://».

5. Formulario de contacto y contacto por correo electrónico

Si se pone en contacto con nosotros mediante el formulario de contacto o por correo electrónico, tratamos los datos que nos transmite (nombre, empresa, dirección de correo electrónico, sitio web, opcionalmente número de teléfono, asunto y mensaje) para tramitar su consulta. El mensaje se transmite cifrado y se reenvía por correo electrónico a nuestro buzón (véase el apartado 12); en el propio sitio web no se guarda.

La base jurídica es el art. 6, apdo. 1, frase 1, letra b) del RGPD, en la medida en que su consulta se refiera a nuestros servicios (medidas precontractuales); en caso contrario, el art. 6, apdo. 1, frase 1, letra f) del RGPD (interés legítimo en responder a las consultas). Los datos se eliminan en cuanto dejan de ser necesarios para alcanzar la finalidad y, a más tardar, al expirar los plazos legales de conservación.

No le enviamos ninguna confirmación de recepción automática. Si en el formulario de contacto ha marcado además un consentimiento publicitario, le enviamos exclusivamente para ello un correo de confirmación sin el contenido de su mensaje (véase el apartado 10).

6. Solicitud de revisión con doble opt-in

A través del formulario de revisión «Solicitar la revisión gratuita de su sitio web» puede realizar una solicitud sin compromiso. En ella tratamos: dirección del sitio web, empresa, nombre, dirección de correo electrónico, opcionalmente el paquete deseado y el número de teléfono, así como la información sobre qué aceptaciones y consentimientos ha marcado.

Tras el envío, le enviamos un correo de confirmación (doble opt-in). Este solo contiene el dominio revisado, un enlace de confirmación y, en su caso, el texto del consentimiento publicitario que haya dado. Hasta la confirmación, guardamos sus datos en un área protegida de nuestro servidor, fuera del directorio web público. El enlace es válido durante 48 horas y solo puede utilizarse una vez. Si no confirma, los datos se eliminan al cabo de las 48 horas; en ese caso no se tramita nada ni se guarda ningún consentimiento.

Tras la confirmación, reenviamos la solicitud por correo electrónico a nuestro buzón y la depositamos para su tramitación en una cola interna de nuestro servidor. Además, como prueba, guardamos la fecha y hora de la solicitud y de la confirmación, su dirección de correo electrónico, las casillas marcadas, la versión del texto del consentimiento y de las condiciones generales, así como su dirección IP en forma seudonimizada (como HMAC con una clave secreta, no en texto claro).

La base jurídica es el art. 6, apdo. 1, frase 1, letra b) del RGPD (medidas precontractuales a petición suya). La prueba de la confirmación y de las condiciones generales aceptadas la guardamos sobre la base del art. 6, apdo. 1, frase 1, letra f) del RGPD (interés legítimo en poder acreditar el proceso). Si no llega a celebrarse un contrato, eliminamos los datos de la solicitud en cuanto dejan de ser necesarios; sobre las pruebas de consentimiento, véase el apartado 10.

7. Protección contra abusos y limitación de solicitudes

Para que los formularios no se utilicen de forma abusiva y automatizada, empleamos un campo invisible para las personas (honeypot) y una comprobación de tiempo: un pequeño script anota en el formulario cuándo se cargó la página y descarta las solicitudes enviadas en menos de tres segundos. En este proceso no se guarda nada en su navegador.

Además, limitamos el número de solicitudes por dirección IP y por dominio revisado. Para ello no guardamos su dirección IP en texto claro, sino solo como valor HMAC con una clave secreta que cambia a diario. Estas entradas se eliminan al cabo de 24 horas. La base jurídica es el art. 6, apdo. 1, frase 1, letra f) del RGPD (interés legítimo en la seguridad de nuestra oferta y en la prevención de abusos).

8. Realización de las revisiones e informes

Si nos hace un encargo, accedemos periódicamente desde fuera al sitio web que nos ha indicado y analizamos solo los contenidos y configuraciones accesibles públicamente. En este proceso también pueden tratarse datos personales que figuran públicamente en el sitio web (por ejemplo, nombres y datos de contacto del aviso legal). A partir de los resultados elaboramos hallazgos e informes, que enviamos a la dirección de correo electrónico acordada.

Los informes se elaboran con ayuda de IA.

Servicio de IA: Para el análisis con ayuda de IA (nuestros sistemas «Prüfy» y «Meldy») utilizamos el modelo de lenguaje Grok a través de la interfaz de programación de SpaceX Super Intelligence LLC («SpaceXSI», anteriormente xAI), EE. UU. El representante en la UE conforme al art. 27 del RGPD es Lionheart Squared (Europe) Ltd, 2 Pembroke House, Upper Pembroke Street 28-32, Dublin, D02 EK84, Irlanda. En este proceso se tratan los contenidos y resultados de medición del sitio web revisado, el dominio y la dirección de correo electrónico a la que debe enviarse el informe, así como los datos personales que figuran públicamente en el sitio web. El proveedor trata los datos como encargado del tratamiento sobre la base de un contrato conforme al art. 28 del RGPD. El tratamiento tiene lugar en EE. UU.; la transferencia está amparada por las cláusulas contractuales tipo de la Comisión Europea (módulo 2) conforme al art. 46, apdo. 2, letra c) del RGPD. Según las condiciones contractuales del proveedor, los contenidos transmitidos no se utilizan para entrenar modelos de IA y se eliminan a más tardar 30 días después del tratamiento.

La base jurídica es el art. 6, apdo. 1, frase 1, letra b) del RGPD (ejecución del contrato). Las facturas y los documentos con relevancia fiscal los conservamos conforme al art. 6, apdo. 1, frase 1, letra c) del RGPD en el marco de las obligaciones legales de conservación. Los informes y datos de revisión los guardamos durante la vigencia de la relación contractual y después los eliminamos, salvo que existan obligaciones legales de conservación.

9. Correos de aviso a empresas

Si detectamos hallazgos de seguridad importantes en un sitio web corporativo accesible públicamente, enviamos a la empresa que lo opera un único correo de aviso sin publicidad (enviado por nuestro sistema de avisos «Meldy»). Facilitamos la siguiente información conforme al art. 14 del RGPD, ya que no hemos obtenido los datos de usted directamente.

• Qué datos: dominio y nombre de la empresa, la dirección de correo electrónico de contacto y, en su caso, un nombre que figure en ella, así como los hallazgos relativos al sitio web.
• Origen: la dirección procede de fuentes accesibles públicamente del propio sitio web revisado, concretamente del archivo security.txt (un archivo en el que los operadores de sitios web indican una dirección de contacto para avisos de seguridad) o del aviso legal (Impressum).
• Finalidad: aviso único sobre hallazgos de seguridad importantes. Si nos responde, volvemos a revisar el sitio web gratuitamente.
• Base jurídica: art. 6, apdo. 1, frase 1, letra f) del RGPD. Nuestro interés legítimo y el de la empresa consisten en llamar la atención sobre riesgos de seguridad reconocibles antes de que se aprovechen.
• Oposición: puede oponerse a futuros avisos en cualquier momento conforme al art. 21 del RGPD, respondiendo al correo de aviso o escribiendo a security@plugthebug.de. En ese caso, incluimos el dominio y la dirección en una lista de bloqueo para que no reciba más avisos. Guardamos la lista de bloqueo mientras sea necesaria para esta finalidad.
• Destinatarios: analizamos los hallazgos con el servicio de IA mencionado en el apartado 8.
• Plazo de conservación: guardamos los correos de aviso y los hallazgos correspondientes durante 12 meses tras el envío y después los eliminamos. Si se ha opuesto, solo se conserva la entrada en la lista de bloqueo.

Más información, también para quienes reciban un correo de este tipo: ¿Ha recibido un correo de aviso?

10. Publicidad por correo electrónico o por teléfono con consentimiento

Si en el formulario de revisión o en el formulario de contacto ha marcado un consentimiento publicitario, le informamos por correo electrónico o por teléfono sobre los paquetes de revisión de PlugTheBug, los servicios de Consulting y los servicios de seguridad informática y de sitios web de Erle-IT. El consentimiento es voluntario y no es requisito para una revisión. Solo surte efecto cuando abre el enlace del correo de confirmación y envía la confirmación (doble opt-in).

La base jurídica es su consentimiento conforme al art. 6, apdo. 1, frase 1, letra a) del RGPD en relación con el § 7 de la UWG (Ley alemana contra la competencia desleal). Puede revocarlo en cualquier momento con efectos para el futuro, mediante el enlace de baja de cada correo publicitario o por correo electrónico a security@plugthebug.de. La licitud del tratamiento realizado hasta la revocación no se ve afectada.

Con la revocación, la publicidad termina de inmediato. La prueba del consentimiento (fecha y hora de la solicitud y de la confirmación, dirección de correo electrónico, versión del texto «einwilligung-v2», dirección IP seudonimizada) y la fecha de la revocación las conservamos después durante tres años más, para poder acreditar que la publicidad era lícita y para poder defendernos frente a reclamaciones. La base jurídica para ello es el art. 6, apdo. 1, frase 1, letra f) del RGPD.

11. Publicidad a clientes existentes

Si contrata un paquete de pago, utilizamos la dirección de correo electrónico obtenida en ese contexto para informarle ocasionalmente sobre otros paquetes de revisión de PlugTheBug y servicios de Consulting (§ 7, apdo. 3 de la UWG). La base jurídica es el art. 6, apdo. 1, frase 1, letra f) del RGPD; nuestro interés legítimo es informar a los clientes existentes sobre servicios propios similares. Puede oponerse a ello en cualquier momento sin que se generen costes distintos de los de transmisión según las tarifas básicas: mediante el enlace de baja de cada uno de estos correos o por correo electrónico a security@plugthebug.de.

12. Envío y recepción de correos electrónicos

Los correos electrónicos automáticos de este sitio web (correos de confirmación del doble opt-in, reenvío de solicitudes confirmadas a nuestro buzón) los enviamos a través de un buzón de correo de Erle-IT en Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, con conexión cifrada. Hetzner trata los datos como encargado del tratamiento conforme al art. 28 del RGPD.

Para la recepción de correos electrónicos dirigidos a direcciones @plugthebug.de, así como para informes y correspondencia, utilizamos Microsoft 365 de Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlanda. Microsoft trata los datos como encargado del tratamiento sobre la base de un contrato conforme al art. 28 del RGPD. No puede descartarse una transferencia a Microsoft Corporation en EE. UU.; esta se basa en el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework) y, de forma complementaria, en cláusulas contractuales tipo de la Comisión Europea. La base jurídica es el art. 6, apdo. 1, frase 1, letra b) del RGPD o la letra f) del RGPD (interés legítimo en una comunicación por correo electrónico segura y fiable).

13. Sus derechos

Usted tiene derecho a:

• solicitar, conforme al art. 15 del RGPD, información sobre sus datos personales tratados por nosotros,
• solicitar, conforme al art. 16 del RGPD, la rectificación de sus datos inexactos o que se completen sus datos guardados,
• solicitar, conforme al art. 17 del RGPD, la supresión de sus datos personales guardados por nosotros,
• solicitar, conforme al art. 18 del RGPD, la limitación del tratamiento,
• recibir, conforme al art. 20 del RGPD, sus datos en un formato estructurado, de uso común y de lectura mecánica (portabilidad de los datos),
• revocar, conforme al art. 7, apdo. 3 del RGPD, un consentimiento otorgado en cualquier momento con efectos para el futuro.

Para ejercer sus derechos, diríjase a: security@plugthebug.de

14. Derecho de oposición según el art. 21 del RGPD

En la medida en que tratemos datos sobre la base del art. 6, apdo. 1, frase 1, letra f) del RGPD, tiene derecho a oponerse en cualquier momento por motivos relacionados con su situación particular. Puede oponerse en cualquier momento y sin indicar motivos al tratamiento con fines de mercadotecnia directa (también la publicidad a clientes existentes); en ese caso dejaremos de tratar sus datos para esta finalidad. Basta con una oposición sin formalidades a security@plugthebug.de.

15. Derecho a presentar una reclamación ante la autoridad de control

Conforme al art. 77 del RGPD, tiene derecho a presentar una reclamación ante una autoridad de control de protección de datos. La autoridad competente para Baviera es:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
Tel.: +49 981 180093-0
Web: www.lda.bayern.de

16. Vigencia de esta política de privacidad

Esta política de privacidad está actualizada a noviembre de 2026. La adaptamos cuando cambian nuestra oferta o la situación jurídica.