Quién trata tus datos
Certodia Desarrollos, S.L., con NIF B93846913 y domicilio en Avenida Altos Hornos de Bizkaia, 33, BIC Ezkerraldea, módulo C-6, 48901 Barakaldo (Bizkaia), España, es responsable de los datos que utiliza para atender consultas, gestionar su relación comercial y proteger sus propios sistemas. El contacto de privacidad es support@certodian.com.
Cuando tu empresa incorpora usuarios, certificados o documentos a Certodian, tu empresa determina el uso de esos datos y actúa como responsable. Certodia los trata por su cuenta como encargado, conforme a sus instrucciones y al acuerdo de encargo del tratamiento aplicable. Esta política informativa no sustituye ese acuerdo.
Qué información recibimos
Recibimos los datos que nos facilitas al solicitar una demo, escribir a soporte, contratar o gestionar una cuenta. Si te incorpora tu organización, recibimos de ella tu nombre, correo profesional, funciones y permisos. Al visitar la web o utilizar el servicio se generan datos de conexión y actividad.
- Contacto, contratación y facturación: nombre, correo, empresa, cargo, contenido de la consulta, denominación, NIF y código postal fiscal de la organización, correo de facturación e historial de pagos. Los datos de la tarjeta o de la cuenta de pago los recoge directamente el proveedor de pagos; Certodia no los recibe.
- Usuarios y seguridad: identidad de la cuenta, roles, permisos, información de autenticación, direcciones IP, navegador y datos técnicos necesarios para investigar incidencias. Cada uso de un certificado registra la dirección IP y la hora con que se comprobó su política de uso, si se permitió, el programa del ordenador que lo pidió, la web en la que se usó si el ordenador la indica (solo el dominio) y la huella de lo que se firmó, no su contenido.
- Equipos con el agente de Windows: un identificador del equipo, las versiones del agente y del sistema operativo, la persona que lo utilizó por última vez y la fecha de su última conexión.
- Certificados: datos del titular y, en su caso, de su representante, NIF, emisor, vigencia, número de serie, material criptográfico que se importa para su custodia y la política de uso que fije la organización.
- Documentos y actividad: archivos que el cliente aporta para firmar, identificadores de operaciones, participantes, fechas y resultados.
- Notificaciones administrativas, si la organización utiliza esa función: NIF y nombre de los titulares de los buzones de la AEAT, de DEHú y de la Seguridad Social que se vigilan, datos de cada envío (organismo, concepto, fechas y plazo) y, si una persona lo comparece o descarga desde Certodian, el documento y su justificante. Si la organización reparte su trabajo por carteras, el NIF y el nombre de los clientes que asigna a cada grupo.
Finalidades y bases jurídicas
Cuando Certodia actúa como responsable, aplica las siguientes bases según la relación concreta. La ejecución de un contrato se utiliza cuando la persona interesada es parte de él; para interlocutores de una empresa se aplica el interés legítimo en mantener la relación profesional.
| Tratamiento | Finalidad y base |
|---|---|
| Consultas y demos | Responder a la petición y preparar una propuesta: medidas precontractuales solicitadas por la persona (art. 6.1.b RGPD) o interés legítimo en atender contactos profesionales (art. 6.1.f RGPD y art. 19 LOPDGDD). |
| Gestión del cliente y soporte | Prestar la atención contratada y comunicarnos con sus interlocutores: ejecución del contrato o interés legítimo en la relación profesional, según corresponda. |
| Cobro, facturación y obligaciones administrativas | Cobrar la suscripción, emitir las facturas y cumplir las obligaciones fiscales y contables de Certodia: ejecución del contrato (art. 6.1.b RGPD) y obligación legal (art. 6.1.c RGPD); para los interlocutores de una empresa cliente, interés legítimo en la relación profesional (art. 6.1.f RGPD). |
| Seguridad y defensa de reclamaciones | Prevenir accesos indebidos, investigar incidentes y conservar evidencias necesarias: interés legítimo (art. 6.1.f RGPD), sujeto a la ponderación y a los derechos de las personas. |
| Registros técnicos de los servidores | Mantener la web y la plataforma en funcionamiento, diagnosticar fallos y detectar e investigar abusos o accesos indebidos: interés legítimo (art. 6.1.f RGPD). |
Datos que tratamos por cuenta de tu empresa
La organización cliente decide qué certificados incorpora, quién puede utilizarlos y con qué limitaciones, qué documentos firma, qué buzones de notificaciones vigila, quién ve sus envíos y para qué conserva sus evidencias. Le corresponde informar a las personas afectadas y disponer de una base jurídica para esas operaciones. Certodia ejecuta las instrucciones del cliente dentro del servicio contratado y conforme al acuerdo de encargo que firman aparte.
Si un documento contiene datos de salud, información sindical u otras categorías especiales, la organización debe contar también con una condición válida del artículo 9 del RGPD. Para solicitar una demo basta con describir la necesidad: evita enviar documentos personales, contraseñas, PIN o certificados privados por correo.
Cuánto tiempo se conserva la información
La conservación depende de la finalidad y del tipo de dato. La baja de una cuenta, la retirada de un permiso y la supresión de datos personales son operaciones distintas.
| Información | Criterio de conservación |
|---|---|
| Consultas y relación comercial | Mientras se atiende la consulta o se mantiene la relación. Después, solo la información necesaria para atender obligaciones fiscales, contables o reclamaciones durante sus plazos legales. |
| Cuenta de una organización dada de baja | Un año después de la baja de la organización, con aviso previo a sus administradores, se destruyen las claves custodiadas, se eliminan las cuentas de acceso, los buzones vigilados con sus notificaciones y documentos, las políticas de uso y los NIF de clientes, y se anonimizan los datos identificativos de las personas, de los certificados y de la organización, y el contacto de facturación. Las solicitudes de supresión se atienden por el procedimiento de ejercicio de derechos. |
| Auditoría | La política del servicio conserva los registros de actividad durante 15 años. Pueden conservarse tras la baja o anonimización de una cuenta. Es una política propia de conservación de evidencias, sujeta a la necesidad de cada tratamiento y a los derechos de las personas. |
| Registros técnicos de los servidores | Los registros que generan los servidores cuando visitas la web o utilizas el servicio (dirección IP, fecha, página o función solicitada, navegador y mensajes técnicos, que pueden incluir el identificador o el correo de una cuenta) se eliminan a los 14 días. Cada componente del servicio guarda además una copia propia de tamaño limitado, que se sobrescribe con la actividad nueva; su duración depende de ese volumen. El registro de uso de las claves custodiadas, que solo contiene identificadores internos, se conserva por tamaño con el objetivo de cubrir al menos un año. |
| Firma web individual o por lotes | Los archivos de estas operaciones tienen programada su eliminación del almacenamiento operativo a los 7 días desde su incorporación. Descarga los originales o resultados que necesites conservar. |
| Flujos de firma | Los archivos se conservan mientras el flujo está activo y tienen programada su eliminación 30 días después de su finalización, rechazo, cancelación o caducidad. Los registros de actividad siguen su política específica. |
| Notificaciones y justificantes | Los datos de cada notificación y la constancia de los accesos hechos desde Certodian se conservan mientras la organización mantiene el servicio. Los documentos y justificantes descargados se eliminan del almacenamiento operativo un año después de guardarse; si se vuelven a descargar, el plazo empieza de nuevo. Guarda tu propia copia de lo que necesites conservar. |
| Copias de seguridad | Las copias cifradas de la base de datos, del almacén de claves y de los documentos se conservan hasta unas ocho semanas, y las que permiten recuperar un instante concreto, siete días. El proveedor de infraestructura guarda además copias de las máquinas virtuales completas, que incluyen los documentos y siguen su propio ciclo. Eliminar un dato del almacenamiento operativo no lo borra de inmediato de esas copias: desaparece al cumplirse su ciclo y, mientras tanto, las copias solo se utilizan para recuperar el servicio y comprobar que la recuperación funciona. |
Supresión, oposición y conservación de evidencias
Una política de conservación no excluye por sí sola tus derechos. Certodia o la organización responsable deben valorar la necesidad de conservar los datos de cada solicitud y explicar cualquier limitación, su fundamento y las vías de reclamación. El uso de registros para formular o defender reclamaciones requiere que su conservación sea necesaria para esa finalidad.
Cuando una obligación exija conservar información tras finalizar su uso ordinario, se limitará su tratamiento a esa obligación y a las responsabilidades correspondientes. Los registros y copias conservados no se utilizarán para reactivar una relación comercial.
Quién puede acceder a los datos
El personal autorizado de Certodia puede acceder a la información necesaria para atender el servicio. En una organización cliente, sus administradores y los usuarios con permisos pueden consultar los datos y la actividad que les correspondan.
Intervienen proveedores de alojamiento, administración de infraestructura y copias de seguridad, establecidos en la Unión Europea, el proveedor de correo y, si se paga en línea, el proveedor de pagos, además de asesores que prestan apoyo contable, fiscal o jurídico. Su acceso debe limitarse a la función que desempeñan y quedar sujeto a las obligaciones contractuales aplicables. Las autoridades recibirán información cuando exista una obligación o requerimiento legal válido.
El correo de Certodian, incluidos los avisos que envía el servicio (invitaciones, alertas y notificaciones pendientes, que indican el NIF y el nombre del titular y el concepto de cada envío), utiliza Private Email de Namecheap. Microsoft 365 corresponde al correo corporativo de certodia.es y puede intervenir si una gestión se realiza por ese canal. Solicitar una demo no suscribe tu dirección a una lista de publicidad.
Si la organización paga en línea, Mollie B.V., con sede en los Países Bajos, procesa el pago: recibe de Certodia la denominación de la organización y el correo de facturación, y recoge directamente los datos de la tarjeta o de la cuenta. Trata esos datos conforme a sus propias condiciones y a su política de privacidad.
Cuando la organización utiliza el vigilante de notificaciones, Certodian se identifica con el certificado elegido ante la AEAT, DEHú (incluida la pasarela Cl@ve) o la Seguridad Social y les indica el NIF del buzón; al comparecer o descargar, esa administración registra el acceso. Si la organización tiene activado el sellado de tiempo, Certodian envía al prestador de sellos una huella criptográfica de la firma, sin el documento.
Ubicación y transferencias internacionales
La infraestructura de la plataforma se aloja en Alemania y sus copias de seguridad se guardan en Alemania y en España. Esa ubicación no determina por sí sola dónde tratan datos los proveedores de correo o de otros servicios auxiliares. El proveedor de pagos está establecido en la Unión Europea.
Namecheap, Inc. es un proveedor establecido en Estados Unidos. El uso de su correo puede implicar tratamientos o accesos fuera del Espacio Económico Europeo. Su acuerdo de tratamiento contempla cláusulas contractuales tipo para las transferencias a países sin decisión de adecuación. Microsoft publica sus condiciones de tratamiento y de transferencia para sus servicios.
Certodia debe identificar las transferencias que correspondan a su contratación y aplicar las garantías del capítulo V del RGPD. Puedes solicitar información sobre los destinatarios, países y garantías aplicables a tus datos escribiendo a support@certodian.com.
Medidas de seguridad
Certodian utiliza conexiones cifradas, cuentas individuales, un segundo factor de autenticación para las cuentas de administración, permisos y registros de actividad. Durante la importación, la clave privada se cifra en el navegador antes de enviarla para su custodia. Una vez importada, Certodian no permite descargarla; el acceso de un usuario autoriza su uso dentro del servicio.
La firma requiere el PIN y los permisos aplicables. Estas medidas no convierten los documentos en archivos inaccesibles para el servidor: el servicio necesita procesarlos para realizar las funciones solicitadas. Ante un posible incidente, contacta con soporte sin enviar claves ni contraseñas.
Si la organización activa el vigilante de notificaciones, Certodian utiliza el certificado elegido por un administrador de forma automática y sin PIN para identificarse ante la AEAT, DEHú o la Seguridad Social y consultar el buzón: de forma periódica (actualmente, cada 12 horas, y como mucho dos veces al día en el portal web de DEHú) y cuando una persona lo solicita. Cada uno de esos usos queda registrado en la actividad de la organización. Comparecer o descargar una notificación sí requiere el PIN.
Cómo ejercer tus derechos
Puedes solicitar acceso, rectificación, supresión, oposición, limitación y portabilidad cuando procedan. Si un tratamiento se basa en tu consentimiento, puedes retirarlo sin afectar al tratamiento lícito anterior. Certodia no utiliza los datos descritos para tomar decisiones exclusivamente automatizadas con efectos jurídicos o de importancia similar ni para elaborar perfiles comerciales.
Escribe a support@certodian.com o al domicilio del aviso legal, indicando el derecho y los datos afectados. Solo se solicitará información adicional de identidad si resulta necesaria para verificar la petición; no envíes una copia del DNI por defecto.
El plazo general de respuesta es de un mes desde la recepción. Si la complejidad o el número de solicitudes requiere una prórroga de hasta dos meses adicionales, se comunicará dentro del primer mes, con sus motivos. Si los datos pertenecen al tratamiento de tu empresa, puedes dirigirte a ella; Certodia colaborará como encargado.
Puedes reclamar ante la Agencia Española de Protección de Datos, aunque no hayas presentado antes una reclamación a Certodia.