Privacidad

Actualizado: 14 de octubre de 2026

Quiénes somos

El responsable del tratamiento es Ecavist Technologies, empresa registrada en Turquía con domicilio en Dörtyol Küme Evleri No: 369, İç Kapı No: 3, Işıklar, Merkez, Çanakkale, Türkiye y nombre comercial Attestkeep. El registro figura en la página de empresa.

Todo lo relativo a este aviso, sea una pregunta, una solicitud o una reclamación, va a legal@attestkeep.com. No hay un delegado de protección de datos aparte; la empresa indicada arriba es lo bastante pequeña como para responder ella misma.

Qué tenemos y por qué

Todo, en una tabla. Lo que sigue a la tabla explica esas mismas filas.

No hay otra categoría. La identidad de facturación de la primera fila es lo que se introduce en la página de la cuenta: el nombre de la persona o de la empresa, el número fiscal o un número de identidad nacional, la oficina tributaria de una empresa en Turquía, el país, y una dirección, una ciudad y un número de teléfono. Una empresa debe indicar su dirección; un particular puede omitirla. La guardamos para que las facturas nombren a la parte correcta, y no se copia en ella nada del checkout de Polar. No guardamos ningún dato de tarjeta en ningún momento, ningún perfil de marketing, ningún identificador de analítica y nada sobre lo que usted escanea o ejecuta.

Este sitio web

En estas páginas no hay script de analítica, ni gestor de etiquetas, ni píxel publicitario, ni contenido incrustado de terceros. Las fuentes, imágenes y hojas de estilo se sirven desde este dominio, de modo que cargar una página no se lo dice a nadie más que a nosotros. El botón de WhatsApp de cada página es un simple enlace: si lo elige, sale de este sitio y la conversación tiene lugar en el servicio WhatsApp de Meta, según las condiciones de Meta; no incrustamos WhatsApp y en estas páginas no se carga nada de Meta.

El servidor web guarda los logs de acceso descritos en la tabla anterior. Sirven para hacer funcionar el sitio y detectar abusos; no se usan para elaborar un perfil suyo ni se combinan con nada más.

El sitio no instala cookies. Guarda una sola cosa en su dispositivo, y solo después de que responda a la barra que lo pregunta: su respuesta. El aviso de cookies cuenta toda esa historia.

El producto

Attestkeep funciona dentro de su propio cluster de Kubernetes. Sus hallazgos, nombres de image, veredictos, excepciones y paquetes de evidencia se escriben en una base de datos PostgreSQL que usted controla. No tenemos acceso a ellos, ni copia de ellos, ni ningún canal por el que pudieran llegarnos.

El operator nos hace exactamente un tipo de petición saliente, para la licencia, y la sección siguiente detalla su contenido campo por campo. No la acompaña ninguna telemetría ni analítica de uso: nada informa de lo que escaneó, qué frameworks abrió, cuántas personas iniciaron sesión ni qué hizo cada una. Eso se cuenta dentro de su cluster, donde ocurre, o no se cuenta.

Usted es el responsable de los datos personales que trate su propio cluster, y nosotros no somos encargados de ese tratamiento: nunca los recibimos. Si su departamento de compras necesita verlo en un documento firmado, las condiciones de tratamiento de datos lo dicen en la forma que esperan.

Qué sale de su cluster

Toda instalación tiene licencia, Community Edition incluida, así que esta sección se aplica tanto si nos paga como si no.

En la activación, una vez por cluster, la instalación envía la clave de activación que se le emitió y una huella del cluster. La huella es un hash del identificador del namespace kube-system de su cluster; un valor opaco que nos permite reconocer el cluster sin describirlo y que no puede revertirse en un nombre, una dirección ni nada sobre lo que se ejecuta en él.

Después, una vez al día, la instalación comprueba su licencia con nosotros y envía tres valores: el identificador de la licencia, la misma huella del cluster y la versión del operator. La petición nos llega por TLS y su dirección IP de origen aparece en los logs de nuestro servidor, como la de cualquier petición.

Esa es la lista completa. Ninguna de las dos peticiones lleva:

• nombres de image, digests, registries ni ningún hallazgo de escaneo,
• identificadores CVE ni nada sobre sus vulnerabilidades,
• nombres de workloads, namespaces, nodes ni clusters,
• topología, tamaño ni configuración del cluster,
• cuentas de usuario, direcciones de correo ni actividad en la consola,
• recuentos de lo que escaneó o de los frameworks que usa,
• ninguna fila, archivo ni exportación de su base de datos.

Los límites que su plan fija para images y frameworks los cuenta y aplica el operator dentro de su propio cluster, y por eso ningún recuento tiene que viajar. El único límite que controlamos nosotros es el número de clusters, porque nada dentro de un cluster puede ver los demás.

Qué hacemos con ello. Decidir si una licencia puede ejecutarse en el cluster que la solicita, contar los clusters frente a lo comprado y detectar una clave repartida entre más clusters de los que paga. Nada de esto se usa para elaborar perfiles, para publicidad ni para puntuarle, y nada se vende.

Pagos

Los pagos los cobra Polar Software, Inc., el vendedor registrado (merchant of record) que le revende la licencia. Polar recoge la dirección de facturación y los datos de pago en su checkout, guarda el medio de pago para las renovaciones, emite la factura y, como vendedor registrado y por sus propias obligaciones legales, es responsable por cuenta propia de esos datos conforme a su propia política de privacidad. Nosotros recibimos el plan, la referencia del pedido y el estado de la suscripción. Nunca vemos ni guardamos un número de tarjeta.

Cuando nos escribe

Si escribe a support@attestkeep.com, legal@attestkeep.com o security@attestkeep.com, guardamos el mensaje y su dirección el tiempo necesario para atenderlo y un periodo razonable después, para que una respuesta posterior tenga contexto. Los avisos de seguridad se guardan junto al advisory al que pertenecen, porque es el registro de cuándo se encontró y se corrigió algo.

No enviamos correos de marketing. Lo que le llega de nosotros es transaccional: un código de acceso, una clave de licencia, un aviso de renovación o de fallo, una respuesta a algo que preguntó.

Quién más accede

Tres empresas, cada una para un solo trabajo, cada una nombrada en la página de subencargados con lo que trata y dónde está. Esa página es la lista actual; se actualiza antes de que se añada uno nuevo, no después.

Nadie más recibe sus datos. No los vendemos, no los compartimos para el marketing de nadie y solo los entregamos a una autoridad cuando lo exige una ley a la que estamos sujetos; en ese caso se lo decimos, salvo que decírselo esté prohibido.

Dónde se guarda

La base de datos, la aplicación y el servidor de correo están en un único servidor en Turquía. Ahí están su cuenta, sus licencias y nuestros logs, y no se copian a ningún otro sitio.

Dos de los tres subencargados están fuera de Turquía y del EEE, ambos en Estados Unidos: Polar, que cobra el pago como vendedor registrado, y Cloudflare, que opera nuestro DNS autoritativo y ejecuta la comprobación anti-bots Turnstile en nuestros formularios de registro, inicio de sesión, restablecimiento de contraseña y contacto; las peticiones de páginas y el tráfico de la cuenta no pasan por ellos mientras el proxy siga desactivado. Las transferencias a ellos se basan en las garantías descritas en la página de subencargados. Si algún día activamos el proxy de Cloudflare, esa página y este párrafo cambiarán primero.

Cómo se protege

Las contraseñas se guardan como hashes Argon2id y nunca de forma legible. Las claves de activación están cifradas en reposo; los tokens de sesión y de correo se guardan solo como hashes. Todo viaja por TLS. La interfaz de administración está en un nombre de host aparte que puede restringirse en el borde de la red, y cada acción administrativa queda escrita en un registro de auditoría. Las contraseñas, los tokens y las claves nunca se escriben en un log.

Si una brecha pone alguna vez en riesgo sus datos, la notificamos a la autoridad competente en un plazo de 72 horas desde que la conocemos y se lo decimos directamente cuando el riesgo para usted es alto. Preferimos avisarle pronto y equivocarnos sobre la gravedad que avisarle tarde.

Sus derechos

Puede pedirnos que:

• le digamos si tenemos algo sobre usted y le demos una copia;
• corrijamos lo que sea inexacto o incompleto;
• borremos lo que tenemos, cuando no estemos obligados a conservarlo;
• limitemos lo que hacemos con ello mientras haya una disputa abierta al respecto;
• le entreguemos una copia portable en un formato legible por máquina;
• dejemos de tratar lo que se basa en el interés legítimo, si se opone a ello.

Escriba a legal@attestkeep.com desde la dirección de la cuenta. Respondemos en un plazo de 30 días, sin coste. Si una solicitud nos impidiera conservar un registro que exige la ley, una factura por ejemplo, le decimos qué parte no podemos borrar y por qué, en lugar de rechazar la solicitud entera.

Cerrar una cuenta. En la página de la cuenta hay un botón para eliminarla. Al pulsarlo, la eliminación se programa para siete días después y le enviamos la fecha por correo; hasta ese momento la solicitud puede retirarse desde la misma página y no ha pasado nada. Ese día la cuenta se borra, con el nombre, la dirección, los datos fiscales, la contraseña y las sesiones, y se revoca cada licencia que contenga, de modo que las instalaciones que las usan vuelven a Community Edition.

Lo que queda es el registro mercantil que la normativa fiscal nos obliga a conservar: lo que se compró y se facturó, durante su plazo legal, sin nada más de lo que necesita una factura. La fila de la cuenta solo se mantiene como identificador del que dependen esos registros, con una dirección de relleno que no puede recibir correo.

Si prefiere que lo hagamos a mano, o no puede acceder a la página, legal@attestkeep.com hace lo mismo en los mismos siete días.

Si nuestra respuesta no le satisface, puede reclamar ante una autoridad de control: en Turquía, la Autoridad de Protección de Datos Personales (KVKK); en otros lugares, la autoridad de su país. Reclamar ante ella no le quita el derecho a volver a dirigirse a nosotros.

Perfiles, menores, cambios

No tomamos decisiones automatizadas que produzcan efectos jurídicos para usted y no elaboramos perfiles. La única decisión automatizada del sistema es si una licencia puede ejecutarse en el cluster que la pide, y eso es una comparación de números y fechas, no la valoración de una persona.

El servicio es para organizaciones y las personas que gestionan su infraestructura. No está dirigido a menores y no tenemos a sabiendas datos de ningún menor.

Cuando este aviso cambia, la fecha de arriba cambia con él. Un cambio que afecte a lo que hacemos con datos que ya tenemos se anuncia por correo a la cuenta antes de que entre en vigor, no solo se publica aquí.