Privacidad del diagnóstico gratuito
Quién trata vuestros datos
BDR Informàtica i Comunicacions, SLU, NRT L-707599-R, con domicilio en Passeig de l'Arnaldeta de Caboet, 11, 2-2, AD700 Escaldes-Engordany (Principado de Andorra), correo hola@tutumsec.io. TutumSec es su marca de ciberseguridad.
Delegado de protección de datos: Win2win, SLU, en DPDextern@win2win.ad.
Representante en la Unión Europea a efectos de protección de datos: Compliance Gap Mitigation, calle Ferraz 28, 2º izquierda, 28008 Madrid (España).
Para qué los usamos
- Haceros el diagnóstico y entregaros el informe que nos habéis pedido.
- Contactaros en relación con ese informe, para explicaros los hallazgos y, si procede, proponeros servicios relacionados.
- Invitar a organizaciones a hacerse el diagnóstico, cuando nos dirigimos nosotros a ellas.
- Enviaros comunicaciones comerciales, si lo habéis autorizado expresamente.
- Elaborar estadísticas agregadas y anonimizadas sobre el conjunto de análisis, sin identificar ninguna organización ni ningún dominio.
Qué datos
| Categoría | Qué incluye |
|---|---|
| Datos de contacto profesional | Nombre y apellidos, cargo, correo corporativo, teléfono si lo dais, y el nombre y sector de la organización |
| Respuestas al cuestionario | Las diez respuestas sobre cómo tenéis organizada la seguridad |
| Datos técnicos del dominio | Lo que el dominio publica abiertamente: registros de DNS, configuración del correo, certificados, cabeceras web y tecnología visible. No son datos personales |
| Prueba del consentimiento | Fecha, hora, dirección IP y versión del texto que aceptasteis, y la declaración de que estáis autorizados por la organización titular del dominio |
| Prevención del abuso | En solicitudes rechazadas: dirección IP, resumen cifrado del correo y motivo del rechazo |
| Registros del servidor | Dirección IP y datos de conexión, por seguridad del servicio |
Con qué base jurídica
Depende de cómo hayamos llegado a vosotros, y no es la misma para cada cosa:
| Finalidad | Base jurídica |
|---|---|
| Haceros el diagnóstico y entregaros el informe | Medidas precontractuales a petición vuestra (art. 6.1.b del RGPD). Nos lo habéis pedido vosotros |
| Contactaros sobre vuestro informe | Interés legítimo en la prospección comercial en el ámbito profesional (art. 6.1.f), reconocido en el considerando 47 del RGPD |
| Invitaros a hacer el diagnóstico, si nos dirigimos nosotros a vosotros | Interés legítimo (art. 6.1.f), sobre datos de contacto profesional |
| Comunicaciones comerciales más allá de vuestro informe | Vuestro consentimiento (art. 6.1.a), que podéis retirar cuando queráis |
| Registros del servidor | Interés legítimo en la seguridad del servicio (art. 6.1.f) |
Podéis pedirnos la ponderación de intereses que hemos hecho para los tratamientos basados en el interés legítimo, y oponeros a ellos en cualquier momento.
El correo de confirmación que os enviamos al pedir el diagnóstico no es la base jurídica del tratamiento: sirve para comprobar que la dirección es vuestra y que sois quien decís.
Los datos marcados en el formulario son necesarios para poder haceros el diagnóstico; sin ellos no os lo podemos entregar. El teléfono y la casilla de comunicaciones comerciales son opcionales.
De dónde hemos sacado vuestros datos
Si habéis rellenado el formulario, de vosotros mismos.
Si os hemos escrito nosotros sin que nos lo pidierais, os decimos en el primer contacto de dónde hemos obtenido vuestra dirección profesional, que será de fuentes públicas profesionales, del sitio web de vuestra organización o de un evento.
Quién más interviene
Encargados del tratamiento, todos con contrato firmado:
- Microsoft 365, para enviar y recibir los correos.
- Un proveedor de modelo de inteligencia artificial, que interpreta la información técnica recogida del dominio.
La gestión comercial se hace con un sistema propio, alojado en nuestra propia infraestructura, que no implica a ningún tercero.
También podemos comunicar datos a autoridades, organismos competentes o tribunales cuando haya una obligación legal.
Transferencias internacionales. La interpretación se ejecuta hoy en un proveedor situado fuera del Espacio Económico Europeo. Antes de enviar nada, un filtro retira cualquier dirección de correo de la información técnica, y no se envía vuestro nombre, ni vuestra dirección, ni el nombre de vuestra organización, de manera que no se transfieren datos personales. En todo caso, el contrato con el proveedor incorpora las cláusulas contractuales tipo aprobadas por la Comisión Europea.
El resto de encargados pueden tratar datos desde fuera del Espacio Económico Europeo con las garantías previstas en el capítulo V del RGPD.
Cuánto tiempo los guardamos
| Qué | Cuánto |
|---|---|
| Solicitud no confirmada | Caduca a los 7 días y se borra entera |
| Datos de contacto, si no llegáis a ser cliente | 12 meses desde la última interacción. Después, supresión o anonimización |
| Datos de contacto, si llegáis a ser cliente | Duración de la relación, más los plazos de prescripción contables y contractuales |
| El informe que os hemos entregado | 12 meses |
| Datos técnicos del dominio | 30 días en el sistema de análisis. Las copias de seguridad de ese sistema se purgan en un plazo máximo de 60 días |
| Prueba del consentimiento comercial | Mientras se utilice, y 3 años desde que lo retiréis |
| Registro mínimo de emisión del informe | Permanente, sin datos personales: fecha, dominio, versión aceptada, consultor que firmó y huella digital del documento |
| Lista de bajas y oposiciones | Permanente, con los datos mínimos, precisamente para no volver a contactaros |
| Registros del servidor | Máximo 15 días |
| Registro de solicitudes rechazadas | 30 días |
| Control de frecuencia (dominio y fecha del último análisis) | 90 días, sin ningún dato personal |
Seguridad y prevención del abuso. Conservamos los registros del servidor (dirección IP y datos de conexión) un máximo de 15 días. Además, para hacer cumplir los límites de uso del diagnóstico, registramos durante 30 días cada solicitud rechazada con la dirección IP, un resumen cifrado de la dirección de correo y el motivo del rechazo. De las solicitudes rechazadas no conservamos ningún otro dato, y esa información no se utiliza para ninguna finalidad comercial. Base jurídica: nuestro interés legítimo en la seguridad del servicio y la prevención del abuso.
Cómo se elabora el informe
El informe se elabora con apoyo de herramientas de análisis automatizado y lo revisa y valida un consultor de TutumSec, que asume la responsabilidad. Ningún informe se envía sin que una persona lo haya revisado y firmado.
No tomamos ninguna decisión automatizada que os produzca efectos jurídicos ni que os afecte significativamente.
Vuestros derechos
Podéis ejercer los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición, y retirar el consentimiento que hayáis dado, escribiendo a hola@tutumsec.io o a nuestro delegado de protección de datos en DPDextern@win2win.ad.
Para dejar de recibir comunicaciones nuestras basta con el enlace de baja que lleva cada mensaje.
Si consideráis que no hemos atendido bien vuestros derechos, podéis reclamar ante la Agencia Andorrana de Protección de Datos (APDA). Si os encontráis en la Unión Europea, también podéis reclamar ante la autoridad de control de vuestro país.
Versión de este apartado
Versión 1.0, de 24 de agosto de 2026. Este apartado se modifica de acuerdo con lo que establece la cláusula de cambios de la política de privacidad general, y cada solicitud queda registrada con la versión de los textos que se aceptó.