Política de privacidad

1.Quiénes somos

Vitalnodo (vitalnodo.com) es un servicio en línea (el «Servicio») que permite a técnicos informáticos y proveedores de servicios gestionados («MSP») instalar un agente en los equipos que administran, ver su estado de salud y de seguridad, organizarlos por cliente y recibir alertas.

El responsable del Servicio es Karim Boulares, persona natural con domicilio en Tegucigalpa, Honduras («nosotros»). Contacto para privacidad y ejercicio de derechos: privacidad@vitalnodo.com.

Ofrecemos el Servicio también a personas en Perú y en otros países. Por eso, además de la ley de Honduras, aplicamos la Ley 29733 de Protección de Datos Personales del Perú y su Reglamento (DS 016-2024-JUS) a los tratamientos que les afectan y, cuando corresponde, el Reglamento General de Protección de Datos de la Unión Europea (RGPD).

2.Nuestros dos papeles

Tratamos dos tipos de datos, con papeles distintos:

3.Qué datos tratamos

3.1. Datos de la cuenta

• Nombre, email y nombre de la empresa (en el registro o la invitación).
• Contraseña: nunca la guardamos en claro. Guardamos un resumen criptográfico (PBKDF2-SHA256 con sal).
• Si activa la verificación en dos pasos (2FA TOTP), el secreto TOTP, guardado cifrado.
• Rol en la cuenta (propietario, administrador, técnico o solo lectura), clientes a los que tiene acceso y si quiere recibir alertas por email.
• Fechas de alta y de último acceso, contador de intentos fallidos y bloqueos temporales.

3.2. Datos de uso y seguridad

• Dirección IP y navegador (user-agent) de cada sesión iniciada.
• Registro de auditoría de acciones sensibles: inicios y cierres de sesión, activación o desactivación del 2FA, invitaciones, claves de inscripción, altas, aprobaciones y bajas de equipos, subida y borrado de iconos, cambios de plan y de configuración, exportaciones y borrados, con la IP desde la que se hicieron.
• Al inscribir un equipo, la IP pública desde la que se conectó el agente queda en el registro de auditoría.
• Registros técnicos de funcionamiento y errores que genera nuestro proveedor de infraestructura (pueden incluir la IP y la dirección solicitada). Solo los usamos para diagnosticar fallos y se conservan durante un periodo limitado.

3.3. Datos de facturación

Los pagos los procesa Gumroad, que actúa como revendedor y comerciante registrado (merchant of record). No recibimos ni guardamos datos de tarjeta. De Gumroad recibimos y guardamos solo lo necesario para aplicar su plan: identificadores de la venta, de la suscripción y del producto, plan y número de máquinas contratados, estado de la suscripción, fecha de fin y la licencia de la compra (guardada cifrada, junto con un resumen criptográfico que impide vincularla a dos cuentas).

3.4. Datos que usted carga sobre sus clientes

Nombres de clientes, notas, etiquetas, nombres que asigne a los equipos, emails adicionales para alertas e iconos para identificar equipos (imágenes PNG, JPEG o WebP de hasta 256 KB). Le pedimos no incluir datos sensibles (salud, opiniones, datos de menores, etc.) en estos campos y no subir como icono fotos de personas ni imágenes con datos personales.

3.5. Datos técnicos que recoge el agente

Al inscribirse, el agente envía: nombre del equipo, sistema operativo y versión, plataforma y arquitectura, versión del agente, una clave pública propia del equipo y un resumen criptográfico (SHA-256) del identificador de la máquina (nunca el identificador en bruto).

Después, cada minuto, envía un informe con:

• Uso de CPU, memoria y swap; memoria total; número de núcleos; carga; número de procesos (solo el número); tiempo encendido y hora de arranque.
• Modelo de CPU, fabricante, modelo y número de serie del equipo (si el sistema lo expone) y tipo de equipo (portátil, sobremesa, servidor, máquina virtual, etc.).
• Número de sesiones de usuario abiertas (no los nombres de usuario).
• Direcciones IP locales y direcciones MAC; nombre, velocidad y estado de los adaptadores de red; tráfico por interfaz (bytes recibidos y enviados por segundo).
• Volúmenes de disco (nombre o letra, sistema de archivos, capacidad, espacio libre y % de uso).
• Temperaturas de sensores y estado SMART de los discos (revisado cada 30 minutos).
• Si hay un reinicio pendiente, y notas técnicas del agente (por ejemplo, «sensores no disponibles»).

Además, cada 6 horas, el agente envía la postura de seguridad del equipo, solo como lectura (no cambia nada en el equipo):

• Antivirus o EDR detectados: nombre del producto, si está activo, si tiene protección en tiempo real, si está al día, y fecha y versión de sus firmas.
• Cortafuegos: si está activo, por perfil.
• Cifrado de disco: si está activo, método y volúmenes cifrados.
• Actualizaciones pendientes del sistema (revisadas cada 12 horas): número total y número de seguridad. El agente no las instala ni fuerza su búsqueda.
• Sistema operativo: familia, nombre, versión, compilación y edición (por ejemplo, Professional o Enterprise).

Con esos datos el Servicio calcula alertas de seguridad (por ejemplo, antivirus ausente, desactivado o desactualizado, actualizaciones de seguridad pendientes o sistema operativo sin soporte). Para saber si una versión del sistema sigue con soporte, el Servicio consulta un catálogo público de fechas de fin de soporte (endoflife.date). En esa consulta no se envía ningún dato de sus equipos.

Algunos de estos datos (nombre del equipo, número de serie, IP, MAC) pueden identificar de forma indirecta a la persona que usa el equipo, por lo que los tratamos como datos personales. La postura de seguridad describe el equipo, no a la persona, pero la tratamos como información confidencial del Cliente porque puede revelar debilidades. Hay una explicación más sencilla, con un ejemplo real, en Qué datos recoge Vitalnodo.

3.6. Lo que el agente no recoge

El agente no recoge ni envía: archivos ni su contenido, nombres de archivos o documentos, correos o mensajes, historial de navegación, pulsaciones de teclado, capturas de pantalla, audio o video, contraseñas, ubicación GPS, nombres de usuario de las sesiones, ni la lista de procesos con sus argumentos. Tampoco recoge la lista de programas instalados, salvo los productos antivirus del apartado 3.5.

Acceso remoto. El diseño de Vitalnodo contempla una futura función de acceso remoto (terminal y escritorio). En la versión actual está desactivada: el agente distribuido no contiene esa función y el Servicio la rechaza. Si en el futuro se activa, estará sujeta a condiciones adicionales y a una actualización previa de esta política, que le comunicaremos antes de que se aplique.

3.7. Cookies y almacenamiento local

• Cookie fd_s: estrictamente necesaria para mantener su sesión. Es HttpOnly, Secure y SameSite=Lax, y caduca como máximo a los 14 días o al cerrar sesión. Por ser estrictamente necesaria, no requiere consentimiento.
• Almacenamiento local del navegador: solo para recordar su preferencia de tema (claro u oscuro).
• No usamos cookies de publicidad ni herramientas de analítica de terceros.

4.Para qué usamos los datos y con qué base legal

No vendemos datos personales, no los usamos para publicidad y no tomamos decisiones automatizadas con efectos jurídicos sobre usted. La «salud», las «alertas» y la «postura de seguridad» de un equipo son cálculos sobre datos técnicos del equipo, no evaluaciones de personas.

No le enviamos comunicaciones comerciales. Si en el futuro quisiéramos hacerlo, le pediremos antes su consentimiento cuando la ley lo exija, y podrá retirarlo en cualquier momento.

5.Con quién compartimos datos

Usamos estos proveedores para prestar el Servicio. La lista completa y actualizada, con enlaces a sus políticas, está en Subencargados.

Gumroad trata los datos de pago conforme a su propia política de privacidad, porque es quien le vende la suscripción. Gumroad no recibe datos de sus equipos.

También podremos comunicar datos a autoridades cuando una norma o una orden válida lo exija. Si la ley lo permite, se lo avisaremos antes.

6.Transferencias internacionales

Nuestros proveedores tratan los datos principalmente en Estados Unidos y, en el caso de Cloudflare, también en su red global. Para usuarios fuera de EE. UU., esto supone una transferencia internacional (en Perú, un flujo transfronterizo según el art. 15 de la Ley 29733; en el Espacio Económico Europeo, una transferencia del capítulo V del RGPD).

• Elegimos proveedores que asumen por contrato obligaciones de protección de datos. Cloudflare ofrece un acuerdo de tratamiento con cláusulas contractuales tipo de la Comisión Europea y declara estar certificado en el Marco de Privacidad de Datos UE-EE. UU. Gumroad declara usar cláusulas contractuales tipo para las transferencias desde el EEE.
• Para usuarios en Perú, el flujo transfronterizo es necesario para ejecutar el contrato que usted celebra con nosotros y se hace hacia destinatarios que asumen por contrato obligaciones de protección equivalentes, conforme a la Ley 29733 y su Reglamento.

7.Cuánto tiempo conservamos los datos

Al eliminar la cuenta (lo hace el propietario desde la aplicación, con contraseña y, si lo tiene activado, código 2FA), borramos de inmediato de la base de datos todos los datos de la cuenta, sus usuarios, clientes, equipos, métricas, alertas, auditoría y datos de suscripción; borramos los iconos subidos, y los agentes dejan de ser aceptados. Solo se conserva una constancia del borrado en el registro de auditoría (identificador de la cuenta, usuario, IP y fecha) durante 400 días, como prueba de la acción.

Las copias de recuperación automáticas de la base de datos pueden conservar los datos borrados hasta 30 días antes de desaparecer. Los emails ya enviados y los registros de facturación de Gumroad se rigen por la conservación de esos proveedores y por las obligaciones legales aplicables.

8.Seguridad

Aplicamos medidas técnicas y organizativas proporcionales al riesgo. Entre ellas:

• Toda comunicación con el Servicio va cifrada (HTTPS/TLS). El agente solo abre conexiones salientes y no expone puertos.
• Cada equipo tiene su propio par de claves Ed25519 y firma cada envío. En nuestra base de datos solo guardamos claves públicas y resúmenes criptográficos de claves de inscripción y sesiones, nunca un secreto reutilizable en claro.
• Contraseñas con PBKDF2-SHA256 y sal; secreto 2FA y licencia de compra cifrados; verificación en dos pasos disponible; bloqueo por intentos fallidos.
• Separación estricta entre cuentas: cada consulta se limita a la cuenta de la sesión, y cada icono solo se sirve a la cuenta que lo subió.
• Registro de auditoría de acciones sensibles y avisos de seguridad por email.

El detalle está en nuestra página de Seguridad y en el Anexo II del Acuerdo de encargo de tratamiento. Ningún sistema es infalible. Si ocurre un incidente que afecte a sus datos, se lo comunicaremos sin dilación indebida y avisaremos a la autoridad cuando la ley lo exija. No declaramos certificaciones de seguridad propias (como ISO 27001 o SOC 2).

9.Sus derechos y cómo ejercerlos

Según la ley aplicable, usted puede ejercer los derechos de información, acceso, rectificación (actualización e inclusión), cancelación (supresión) y oposición («derechos ARCO») y, cuando corresponda, de portabilidad, limitación del tratamiento y retirada del consentimiento.

Desde la aplicación

Puede corregir su nombre y email, cambiar la contraseña, gestionar el 2FA, borrar iconos y, en Ajustes › Privacidad y datos, exportar los datos de la cuenta en JSON (propietario y administradores) y eliminar la cuenta (propietario).

Por email

Escriba a privacidad@vitalnodo.com indicando qué derecho ejerce y adjuntando lo necesario para verificar su identidad. No cobramos por atender solicitudes razonables.

Plazos

Respondemos dentro de los plazos legales aplicables: para titulares en Perú, los del Reglamento de la Ley 29733 (DS 016-2024-JUS); para usuarios del Espacio Económico Europeo, un mes (art. 12.3 del RGPD). Nuestro objetivo es responder siempre en un máximo de 10 días hábiles.

Datos técnicos de equipos

Si su solicitud se refiere a un equipo que administra un técnico o una empresa, la atenderá ese Cliente, porque es quien decide sobre esos datos. Le trasladaremos su solicitud en un máximo de 5 días hábiles y le ayudaremos a responderla.

Reclamaciones

Si no está conforme con nuestra respuesta, puede acudir a:

• Perú: la Autoridad Nacional de Protección de Datos Personales (Ministerio de Justicia y Derechos Humanos).
• Honduras: según nuestra información a la fecha de esta versión, no existe una ley general de protección de datos personales en vigor. Puede ejercer la acción de hábeas data que reconoce el art. 182 de la Constitución.
• Espacio Económico Europeo: la autoridad de control de su país de residencia.

10.Menores de edad

Vitalnodo es un servicio profesional para mayores de 18 años. No lo dirigimos a menores ni recogemos a sabiendas datos de menores en las cuentas. Si detectamos una cuenta de un menor, la eliminaremos.

Los equipos monitorizados pueden ser usados por menores (por ejemplo, en un colegio). El agente solo recoge los datos técnicos del apartado 3.5, nunca datos de su actividad. Corresponde al Cliente contar con la autorización del propietario del equipo y, en su caso, informar a los usuarios.

11.Usuarios del Espacio Económico Europeo y del Reino Unido

Si usted está en el EEE o en el Reino Unido, también le aplica el RGPD (o el UK GDPR). No estamos establecidos en la Unión Europea. Si la normativa nos obliga a designar un representante en la Unión (art. 27 del RGPD), publicaremos aquí sus datos de contacto.

12.Cambios en esta política

Podemos actualizar esta política. Si los cambios son importantes (por ejemplo, nuevas categorías de datos, nuevas finalidades o la activación del acceso remoto), se lo avisaremos por email o dentro de la aplicación con al menos 30 días de antelación. La fecha de la última actualización figura al principio de esta página.

13.Contacto

Responsable

Karim Boulares · Tegucigalpa, Honduras

Privacidad y derechos

privacidad@vitalnodo.com

Contacto general

hola@vitalnodo.com