Quién trata tus datos
Certodia Desarrollos, S.L., con NIF B93846913 y domicilio en Avenida Altos Hornos de Bizkaia, 33, BIC Ezkerraldea, módulo C-6, 48901 Barakaldo (Bizkaia), España, es responsable de los datos que utiliza para atender consultas, gestionar su relación comercial y proteger sus propios sistemas. El contacto de privacidad es support@certodian.com.
Cuando tu empresa incorpora usuarios, certificados o documentos a Certodian, tu empresa determina el uso de esos datos y actúa como responsable. Certodia los trata por su cuenta como encargado, conforme a sus instrucciones y al acuerdo de encargo del tratamiento aplicable. Esta política informativa no sustituye ese acuerdo.
Qué información recibimos
Recibimos los datos que nos facilitas al solicitar una demo, escribir a soporte o gestionar una cuenta. Si te incorpora tu organización, recibimos de ella tu nombre, correo profesional, funciones y permisos. Al utilizar el servicio se generan datos de conexión y actividad.
- Contacto y relación comercial: nombre, correo, empresa, cargo, contenido de la consulta y datos necesarios para preparar una propuesta, gestionar el contrato o facturar.
- Usuarios y seguridad: identidad de la cuenta, roles, permisos, información de autenticación, direcciones IP y datos técnicos necesarios para investigar incidencias.
- Certificados: datos del titular y, en su caso, de su representante, NIF, emisor, vigencia, número de serie y material criptográfico que se importa para su custodia.
- Documentos y actividad: archivos que el cliente aporta para firmar, identificadores de operaciones, participantes, fechas, resultados y, si utiliza esa función, notificaciones administrativas y sus justificantes.
Finalidades y bases jurídicas
Cuando Certodia actúa como responsable, aplica las siguientes bases según la relación concreta. La ejecución de un contrato se utiliza cuando la persona interesada es parte de él; para interlocutores de una empresa se aplica el interés legítimo en mantener la relación profesional.
| Tratamiento | Finalidad y base |
|---|---|
| Consultas y demos | Responder a la petición y preparar una propuesta: medidas precontractuales solicitadas por la persona (art. 6.1.b RGPD) o interés legítimo en atender contactos profesionales (art. 6.1.f RGPD y art. 19 LOPDGDD). |
| Gestión del cliente y soporte | Prestar la atención contratada y comunicarnos con sus interlocutores: ejecución del contrato o interés legítimo en la relación profesional, según corresponda. |
| Facturación y obligaciones administrativas | Cumplir las obligaciones fiscales y contables que correspondan a Certodia: obligación legal (art. 6.1.c RGPD). |
| Seguridad y defensa de reclamaciones | Prevenir accesos indebidos, investigar incidentes y conservar evidencias necesarias: interés legítimo (art. 6.1.f RGPD), sujeto a la ponderación y a los derechos de las personas. |
Datos que tratamos por cuenta de tu empresa
La organización cliente decide qué certificados incorpora, quién puede utilizarlos, qué documentos firma y para qué conserva sus evidencias. Le corresponde informar a las personas afectadas y disponer de una base jurídica para esas operaciones. Certodia ejecuta las instrucciones del cliente dentro del servicio contratado.
Si un documento contiene datos de salud, información sindical u otras categorías especiales, la organización debe contar también con una condición válida del artículo 9 del RGPD. Para solicitar una demo basta con describir la necesidad: evita enviar documentos personales, contraseñas, PIN o certificados privados por correo.
Cuánto tiempo se conserva la información
La conservación depende de la finalidad y del tipo de dato. La baja de una cuenta, la retirada de un permiso y la supresión de datos personales son operaciones distintas.
| Información | Criterio de conservación |
|---|---|
| Consultas y relación comercial | Mientras se atiende la consulta o se mantiene la relación. Después, solo la información necesaria para atender obligaciones o reclamaciones durante sus plazos de prescripción. |
| Cuenta de una organización dada de baja | La política del servicio prevé eliminar las claves custodiadas, las cuentas y sus datos identificativos al cumplirse un año desde la baja, con aviso previo. Las solicitudes de supresión se atienden por el procedimiento de ejercicio de derechos. |
| Auditoría | La política del servicio conserva los registros de actividad durante 15 años. Pueden conservarse tras la baja o anonimización de una cuenta. Es una política propia de conservación de evidencias, sujeta a la necesidad de cada tratamiento y a los derechos de las personas. |
| Firma web individual o por lotes | Los archivos de estas operaciones tienen programada su eliminación del almacenamiento operativo a los 7 días desde su incorporación. Descarga los originales o resultados que necesites conservar. |
| Flujos de firma | Los archivos se conservan mientras el flujo está activo y tienen programada su eliminación 30 días después de su finalización, rechazo, cancelación o caducidad. Los registros de actividad siguen su política específica. |
| Notificaciones y justificantes | Permanecen asociados al registro de la notificación. Esta función no tiene un plazo automático de borrado equivalente al de los archivos de firma; su supresión debe gestionarse con la organización responsable y soporte. |
| Copias de seguridad | La eliminación del almacenamiento operativo no implica el borrado inmediato de las copias de recuperación. Su retirada sigue el ciclo de conservación de cada copia y las obligaciones o instrucciones aplicables. |
Supresión, oposición y conservación de evidencias
Una política de conservación no excluye por sí sola tus derechos. Certodia o la organización responsable deben valorar la necesidad de conservar los datos de cada solicitud y explicar cualquier limitación, su fundamento y las vías de reclamación. El uso de registros para formular o defender reclamaciones requiere que su conservación sea necesaria para esa finalidad.
Cuando una obligación exija conservar información tras finalizar su uso ordinario, se limitará su tratamiento a esa obligación y a las responsabilidades correspondientes. Los registros y copias conservados no se utilizarán para reactivar una relación comercial.
Quién puede acceder a los datos
El personal autorizado de Certodia puede acceder a la información necesaria para atender el servicio. En una organización cliente, sus administradores y los usuarios con permisos pueden consultar los datos y la actividad que les correspondan.
Intervienen proveedores de alojamiento, administración de infraestructura, copias de seguridad y correo, y asesores que prestan apoyo contable o jurídico. Su acceso debe limitarse a la función que desempeñan y quedar sujeto a las obligaciones contractuales aplicables. Las autoridades recibirán información cuando exista una obligación o requerimiento legal válido.
El correo de Certodian utiliza Private Email de Namecheap. Microsoft 365 corresponde al correo corporativo de certodia.es y puede intervenir si una gestión se realiza por ese canal. Solicitar una demo no suscribe tu dirección a una lista de publicidad.
Ubicación y transferencias internacionales
La infraestructura principal de la plataforma se aloja en Alemania. La ubicación de esa infraestructura no determina por sí sola dónde tratan datos los proveedores de correo o de otros servicios auxiliares.
Namecheap, Inc. es un proveedor establecido en Estados Unidos. El uso de su correo puede implicar tratamientos o accesos fuera del Espacio Económico Europeo. Su acuerdo de tratamiento contempla cláusulas contractuales tipo para las transferencias a países sin decisión de adecuación. Microsoft publica sus condiciones de tratamiento y de transferencia para sus servicios.
Certodia debe identificar las transferencias que correspondan a su contratación y aplicar las garantías del capítulo V del RGPD. Puedes solicitar información sobre los destinatarios, países y garantías aplicables a tus datos escribiendo a support@certodian.com.
Medidas de seguridad
Certodian utiliza conexiones cifradas, cuentas individuales, permisos y registros de actividad. Durante la importación, la clave privada se cifra en el navegador antes de enviarla para su custodia. Una vez importada, Certodian no permite descargarla; el acceso de un usuario autoriza su uso dentro del servicio.
La firma requiere el PIN y los permisos aplicables. Estas medidas no convierten los documentos en archivos inaccesibles para el servidor: el servicio necesita procesarlos para realizar las funciones solicitadas. Ante un posible incidente, contacta con soporte sin enviar claves ni contraseñas.
Si la organización activa el vigilante de notificaciones, Certodian utiliza el certificado elegido por un administrador de forma automática y sin PIN para identificarse ante la administración y consultar el buzón: de forma periódica (actualmente, cada 12 horas) y cuando una persona lo solicita. Cada uno de esos usos queda registrado en la actividad de la organización. Comparecer o descargar una notificación sí requiere el PIN.
Cómo ejercer tus derechos
Puedes solicitar acceso, rectificación, supresión, oposición, limitación y portabilidad cuando procedan. Si un tratamiento se basa en tu consentimiento, puedes retirarlo sin afectar al tratamiento lícito anterior. Certodia no utiliza los datos descritos para tomar decisiones exclusivamente automatizadas con efectos jurídicos o de importancia similar ni para elaborar perfiles comerciales.
Escribe a support@certodian.com o al domicilio del aviso legal, indicando el derecho y los datos afectados. Solo se solicitará información adicional de identidad si resulta necesaria para verificar la petición; no envíes una copia del DNI por defecto.
El plazo general de respuesta es de un mes desde la recepción. Si la complejidad o el número de solicitudes requiere una prórroga de hasta dos meses adicionales, se comunicará dentro del primer mes, con sus motivos. Si los datos pertenecen al tratamiento de tu empresa, puedes dirigirte a ella; Certodia colaborará como encargado.
Puedes reclamar ante la Agencia Española de Protección de Datos, aunque no hayas presentado antes una reclamación a Certodia.