Legal · Última actualización 2026-09-03 · Vigencia 2026-09-03
Política de privacidad
Esta política explica qué datos personales recopila ShieldAgent, por qué los recopilamos, cuánto tiempo los conservamos y los derechos que tienes sobre ellos. Tratamos los datos personales de conformidad con el Reglamento General de Protección de Datos de la UE (RGPD) y la normativa nacional de protección de datos aplicable.
1. Identidad del responsable
¿Quién es responsable de tus datos?
ShieldAgent
Correo electrónico: privacy@shieldagent.io
ShieldAgent es el responsable del tratamiento de los datos de cuenta y contacto que nos facilitas directamente. Respecto a los datos que tus agentes de IA enrutan a través de nuestro proxy, ShieldAgent actúa como encargado del tratamiento conforme al artículo 4.8 del RGPD — tú (el cliente) sigues siendo el responsable y determinas los fines y medios de ese tratamiento. Un Acuerdo de Tratamiento de Datos (DPA) independiente regula la relación de encargado.
ShieldAgent aún no está constituida como sociedad. No hay ninguna entidad jurídica registrada y la jurisdicción de constitución todavía no está decidida. Hasta que lo esté, el responsable del tratamiento conforme al artículo 4.7 del RGPD es la persona o personas que operan el servicio ShieldAgent, localizables en la dirección indicada arriba. Publicaremos aquí la entidad, su domicilio social y su número de registro en cuanto se complete la constitución.
No estamos establecidos en la Unión Europea. Si te encuentras en la Unión, el RGPD se aplica a nuestro tratamiento de tus datos personales conforme al artículo 3.2 del RGPD, porque te ofrecemos allí nuestros servicios. Esto es así con independencia de que estemos establecidos en cualquier otro lugar y no depende de dónde se constituya finalmente ShieldAgent.
Todavía no hemos designado un representante en la Unión conforme al artículo 27 del RGPD. Hasta que lo hagamos, dirige cualquier solicitud de la sección 7 — Tus derechos — o cualquier pregunta sobre cómo tratamos tus datos — a privacy@shieldagent.io, y respondemos en el plazo indicado en esa sección. Cuando se designe un representante, su nombre y datos de contacto se publicarán aquí.
2. Datos que recopilamos
¿Qué datos recopilamos?
Datos de cuenta
- Nombre y dirección de correo electrónico (contacto de registro y facturación)
- Nombre de la empresa y cargo (para la gestión de licencias y el contexto B2B)
- Hash de la contraseña (bcrypt; nunca almacenamos ni registramos contraseñas en texto plano)
- Atributos de identidad SSO / SAML cuando se configura el SSO empresarial
Datos de uso y telemetría
- Metadatos de llamadas a herramientas MCP (nombre de la herramienta, identidad del agente, resultado, latencia) — no el payload en bruto, salvo que el cliente active el registro DLP
- Resultados de evaluación de políticas y clasificaciones de eventos de seguridad
- Entradas del registro de auditoría (encadenadas mediante hash para evidenciar manipulaciones)
- Eventos de interacción con el panel (visualizaciones de página, uso de funciones)
Datos técnicos
- Dirección IP y cadena de user-agent (retención de registros: 30 días)
- Tokens de sesión (JWT de corta duración; no se conservan más allá de su ventana de validez)
- Claves de autenticación de API (almacenadas como hashes con sal; nunca en texto plano)
Comunicaciones de soporte
- Correos electrónicos y mensajes dentro de la aplicación que envías a nuestros equipos de soporte o seguridad
- Informes de errores y solicitudes de funcionalidades
Datos de prospectos y consultas
- Dirección de correo electrónico corporativo y nombre de la empresa, cuando envías el formulario de solicitud de piloto en este sitio
- «Qué hacen hoy tus agentes» — un campo de texto libre que escribes tú mismo. Por favor, no incluyas en él datos personales de otras personas, credenciales ni detalles confidenciales de sistemas; no los necesitamos para evaluar un piloto
- La versión de idioma de la página desde la que enviaste el formulario, y la hora en que lo recibimos
- Nada más. El formulario no establece ningún identificador de seguimiento propio, y no añadimos datos sobre ti procedentes de proveedores externos de enriquecimiento de datos
Aplicamos técnicas de redacción de Prevención de Pérdida de Datos (DLP) a las 13 clases de datos personales (PII) de la UE (nombres, direcciones de correo electrónico, formatos de identificación nacional de la UE, etc.) antes de que los eventos se persistan en nuestro registro de auditoría. Los clientes controlan si el registro del payload en bruto está activado; por defecto está desactivado.
3. Cómo usamos tus datos
¿Por qué procesamos datos personales?
| Finalidad | Categorías de datos |
|---|---|
| Prestar y operar el servicio ShieldAgent | Cuenta, uso, técnicos |
| Autenticar usuarios y gestionar sesiones | Cuenta, técnicos |
| Facturación y gestión de licencias | Cuenta, referencia de pago |
| Detectar, investigar y responder a incidentes de seguridad | Uso, técnicos, registro de auditoría |
| Generar evidencia de cumplimiento (Anexo IV, SOC 2) | Uso, registro de auditoría |
| Responder a solicitudes de soporte | Cuenta, comunicaciones de soporte |
| Evaluar una solicitud de piloto que envíes en este sitio | Prospectos y consultas |
| Enviar actualizaciones de producto y seguridad (transaccionales) | Cuenta (correo electrónico) |
| Mejorar el servicio y entrenar modelos internos (sin datos de payload de clientes) | Telemetría agregada y anonimizada |
| Cumplir obligaciones legales (excepciones de supresión del art. 17 RGPD, obligaciones fiscales y requerimientos legítimos de las autoridades) | Cuenta, registros financieros |
| Conservar métricas de instantáneas de cumplimiento (porcentajes de cobertura, recuentos de controles) como servicio contratado (la conservación de documentación técnica de 10 años del art. 18 de la Ley de IA sigue siendo tu obligación como proveedor, no la nuestra) | Métricas de instantáneas de cumplimiento (porcentajes de cobertura, recuentos de controles) |
4. Bases legales (RGPD)
Nuestras bases legales para el tratamiento
Ejecución de un contrato (art. 6.1.b)
Registro de cuenta, prestación del servicio, facturación y autenticación. La misma base cubre las gestiones realizadas a tu solicitud antes de que exista un contrato: si envías el formulario de solicitud de piloto, nos basamos en las medidas precontractuales del art. 6.1.b para evaluar esa solicitud — no en el interés legítimo, ni en el consentimiento. Usar esos datos para cualquier fin distinto de evaluar tu solicitud requeriría una base independiente, y no lo hacemos. También cubre la generación, bajo demanda, de tus informes PDF de cumplimiento (Anexo IV, SOC 2, ISO 42001, NIST AI RMF) — que te transmitimos y no conservamos — y la conservación de las métricas de instantáneas de cumplimiento subyacentes (porcentajes de cobertura, recuentos de controles) como parte del servicio contratado: la obligación de conservar documentación técnica del art. 18 de la Ley de IA de la UE es tuya, como proveedor del sistema de alto riesgo, no de ShieldAgent.
Interés legítimo (art. 6.1.f)
Supervisión de seguridad, prevención del fraude, mejora del servicio y detección de abusos — ponderado frente a tus derechos; hemos realizado una Evaluación de Interés Legítimo, disponible a petición.
Obligación legal (art. 6.1.c)
Registros fiscales y respuesta a requerimientos legítimos de las autoridades.
Consentimiento (art. 6.1.a)
Cookies no esenciales y comunicaciones de marketing. Puedes retirar el consentimiento en cualquier momento sin que ello afecte a la licitud del tratamiento previo.
5. Conservación
¿Cuánto tiempo conservamos tus datos?
Los datos de cuenta se conservan durante la duración de tu suscripción más 90 días tras el cierre de la cuenta (para permitir la reactivación o la exportación de datos), y después se eliminan salvo que exista una obligación legal de conservación.
Los eventos del registro de auditoría siguen calendarios específicos por nivel: Business — 1 año en línea; Enterprise — 1 año en línea + 4 años en almacenamiento «warm». El artículo 18 de la Ley de IA de la UE exige a los proveedores de sistemas de IA de alto riesgo conservar la documentación técnica durante 10 años — esa obligación es tuya, como proveedor, no nuestra. Las métricas de instantáneas de cumplimiento (porcentajes de cobertura, recuentos de controles), en los planes que incluyen informes de cumplimiento, se conservan junto con los datos de tu cuenta, según el plazo indicado arriba; tus informes PDF de cumplimiento (Anexo IV, SOC 2, ISO 42001, NIST AI RMF) se generan bajo demanda y se transmiten directamente a ti, y no almacenamos el PDF.
Los registros de IP / acceso — 30 días, y después se purgan automáticamente.
Las comunicaciones de soporte — 3 años tras el cierre del ticket.
Los registros de facturación — 7 años (obligación fiscal).
Los datos de prospectos y consultas — 12 meses desde nuestro último contacto contigo sobre la solicitud, y después se eliminan. Si el piloto sigue adelante, esos datos pasan a ser datos de cuenta y siguen el calendario de cuenta indicado arriba. Ese plazo se aplica al registro que conservamos de tu envío: cuando la entrega tiene éxito, el envío completo — incluido el campo de texto libre que describe tu stack de agentes — se registra en LeadTracker, nuestro propio sistema de seguimiento de leads, que se ejecuta en nuestra propia infraestructura. Si la entrega falla, también emitimos una línea de registro del servidor, para conservar una forma de contactarte. Esa línea contiene únicamente tu correo electrónico, empresa, idioma y marca temporal — el campo de texto libre se redacta antes de escribirse, y nunca se almacena en nuestro sistema de registro. La línea de registro es un respaldo de mejor esfuerzo y de corta duración, y no un segundo registro que conservemos: se envía a nuestro almacén de registros de contenedores, que descarta automáticamente su contenido a los 7 días — un plazo fijado en ese almacén de forma independiente de los 12 meses anteriores, y muy inferior a ellos. Las líneas individuales no pueden localizarse ni eliminarse de ese almacén, por lo que no prometemos borrar una en concreto, y no lo utilizamos como copia de tu solicitud. Puedes pedirnos que eliminemos una solicitud de piloto en cualquier momento escribiendo a privacy@shieldagent.io; no exigimos ningún motivo, y eliminaremos el registro de LeadTracker.
6. Subencargados y transferencias internacionales
¿Con quién compartimos datos?
Solo compartimos datos con subencargados necesarios para prestar el servicio. La lista completa y actualizada de subencargados se publica en nuestro Centro de Confianza. Principios clave:
- El SaaS gestionado se ejecuta únicamente en infraestructura de la región UE.
- Todos los subencargados están sujetos a Acuerdos de Tratamiento de Datos conformes con el RGPD.
- Las Cláusulas Contractuales Tipo (SCC de la UE, 2021) se aplican a cualquier transferencia fuera del EEE.
- Notificamos a los clientes afectados con al menos 30 días de antelación antes de añadir o sustituir a un subencargado.
Los envíos del formulario de solicitud de piloto, a fecha de vigencia de esta política, no se envían a ningún tercero. El formulario de este sitio escribe únicamente en nuestra propia infraestructura y en ningún otro lugar; ningún proveedor externo de mensajería, CRM o automatización los recibe. Si esto cambia, el proveedor aparecerá en la lista de subencargados del Centro de Confianza antes de empezar a recibir datos, conforme al compromiso de aviso de 30 días indicado arriba, y este párrafo cambiará en consecuencia.
No vendemos datos personales. No compartimos datos personales con terceros para sus propios fines de marketing.
7. Tus derechos
Tus derechos bajo el RGPD
Acceso (art. 15)
Obtener una copia de los datos personales que tenemos sobre ti.
Rectificación (art. 16)
Corregir datos inexactos o incompletos.
Supresión (art. 17)
Solicitar la eliminación, sujeta a excepciones por obligación legal de conservación.
Limitación (art. 18)
Limitar el tratamiento en determinadas circunstancias.
Portabilidad (art. 20)
Recibir tus datos en un formato legible por máquina.
Oposición (art. 21)
Oponerte al tratamiento basado en el interés legítimo.
Retirar el consentimiento
Para el tratamiento basado en el consentimiento (p. ej., correos de marketing), en cualquier momento.
Presentar una reclamación
Ante la autoridad de control de tu Estado miembro de la UE.
Para ejercer cualquier derecho, escribe a privacy@shieldagent.io. Facilitamos información sobre las actuaciones derivadas de tu solicitud sin dilación indebida y, en todo caso, en el plazo de un mes desde su recepción, conforme al art. 12.3 del RGPD. Es posible que necesitemos verificar tu identidad antes de atender una solicitud.
8. Seguridad
Cómo protegemos tus datos
Aplicamos medidas técnicas y organizativas adecuadas, entre ellas: TLS 1.3 en tránsito; AES-256 en reposo con claves por inquilino; seguridad a nivel de fila (RLS) en la capa de base de datos; integridad mediante encadenamiento hash tipo Merkle-tree para los eventos de auditoría; redacción DLP de datos personales antes de su persistencia. Encontrarás todos los detalles en el Centro de Confianza. En caso de una violación de la seguridad de datos personales que te afecte, te notificaremos como responsable sin dilación indebida, conforme al art. 33.2 del RGPD; nuestro Acuerdo de Tratamiento de Datos se compromete, además, a hacerlo, cuando sea factible, en un plazo de 72 horas.
10. Cambios en esta política
Cómo comunicamos las actualizaciones
Podemos actualizar esta política para reflejar cambios en nuestras prácticas o en la normativa aplicable. Notificaremos a los usuarios registrados los cambios sustanciales por correo electrónico con al menos 30 días de antelación a su entrada en vigor, o mostraremos un aviso destacado en el panel. La fecha de «Última actualización» en la parte superior de esta página refleja la revisión más reciente. El uso continuado del servicio después de la fecha de vigencia constituye la aceptación de la política actualizada.
Existe una excepción al aviso de 30 días: cuando una actualización únicamente añade una descripción de los datos que recopilamos de los visitantes del sitio, sin cambiar cómo tratamos los datos de los clientes existentes, entra en vigor de inmediato. El art. 13 del RGPD exige que esa información esté disponible en el momento en que se recopilan los datos, por lo que aplazarla 30 días frustraría su propósito. La revisión del 2026-08-30, que añadió la categoría de prospectos y consultas, fue una actualización de ese tipo.
11. Contacto
¿Preguntas o solicitudes?
Consultas de privacidad: privacy@shieldagent.io
Incidentes de seguridad: security@shieldagent.io
Solicitudes de DPA y objeciones a subencargados: privacy@shieldagent.io
Esta política se revisó por última vez el 2026-09-03 y es efectiva desde el 2026-09-03. ShieldAgent.