Política de Privacidad

1. Responsable del tratamiento

El responsable del tratamiento de tus datos personales es Atesto (en adelante, "nosotros" o "el Servicio").

• Contacto: privacidad@atesto.es

2. Datos que recopilamos

Recopilamos los siguientes tipos de datos:

• Datos de cuenta: Dirección de correo electrónico para identificarte.
• Contenido de emails certificados: Remitente, destinatarios, asunto, cuerpo del mensaje y adjuntos que nos envías para certificar.
• Datos técnicos: Dirección IP, tipo de navegador, y registros de acceso para seguridad.
• Hashes criptográficos: Identificadores únicos del contenido para garantizar su integridad.

3. Finalidad del tratamiento

Tratamos tus datos para:

• Proporcionar el servicio de certificación de emails con validez legal.
• Generar certificados con sello de tiempo oficial (RFC 3161).
• Permitirte acceder a tus certificaciones desde tu cuenta.
• Enviarte comunicaciones relacionadas con el servicio (códigos de acceso, notificaciones).
• Cumplir con obligaciones legales.

4. Base legal

El tratamiento de tus datos se basa en:

• Ejecución del contrato: Es necesario para prestarte el servicio de certificación.
• Interés legítimo: Para mejorar la seguridad y prevenir fraudes.
• Obligación legal: Para cumplir con requisitos de conservación de pruebas electrónicas.

5. Conservación de datos

Conservamos tus datos durante:

• Certificaciones: 10 años desde la fecha de certificación, para garantizar su validez legal a largo plazo.
• Datos de cuenta: Mientras mantengas tu cuenta activa, más 2 años adicionales.
• Logs técnicos: 1 año para fines de seguridad.

6. Tus derechos

Tienes derecho a:

• Acceso: Solicitar una copia de tus datos personales.
• Rectificación: Corregir datos inexactos.
• Supresión: Solicitar la eliminación de tus datos (con limitaciones legales para certificaciones).
• Portabilidad: Recibir tus datos en formato estructurado.
• Oposición: Oponerte al tratamiento en ciertos casos.

Para ejercer estos derechos, contacta con nosotros en privacidad@atesto.es.

7. Seguridad

Implementamos cifrado en profundidad para proteger tus datos, conforme al Art. 32 del RGPD:

• Cifrado en tránsito: HTTPS/TLS para todas las comunicaciones.
• Cifrado de campos sensibles en base de datos: AES-256-GCM (cifrado autenticado, estándar NIST SP 800-38D) sobre el contenido del email. Sin la clave de cifrado, los datos son ilegibles incluso ante una fuga de la base de datos.
• Cifrado de adjuntos: cifrado AES-256 server-side en el almacenamiento de archivos.
• Cifrado de almacenamiento: los datos persistidos se almacenan en medios cifrados a nivel de disco (LUKS).
• Control de acceso basado en roles y autenticación OTP sin contraseñas.
• Auditorías periódicas de seguridad y análisis estático del código.

Acceso interno controlado al contenido

El proceso de certificación es automático y, en condiciones normales, ninguna persona lee el contenido de tu email. Sin embargo, queremos ser transparentes sobre las excepciones controladas:

• Dentro del equipo de Atesto, sólo el personal con el rol específico de auditoría puede solicitar acceso al contenido descifrado de una certificación. El rol está separado del de administración general: un administrador del panel sin permisos de auditoría no puede ver el contenido.
• Cada acceso requiere una justificación escrita y la validación de un código de un solo uso enviado al email del propio auditor. Esto puede ocurrir, por ejemplo, para resolver una incidencia técnica que reportes o para atender un requerimiento legal vinculante.
• Toda operación de acceso queda registrada en un log de auditoría inmutable con la identidad del auditor, la fecha, la dirección IP, la justificación declarada y el resultado. Este log se conserva como parte de la documentación interna de seguridad y puede aportarse en respuesta a auditorías o requerimientos legales.
• Los procesos automáticos que necesitan acceder al contenido (cálculo del hash para el sello de tiempo, generación del PDF certificado y el enlace privado que tú compartes) quedan registrados en los logs de seguridad del sistema con el motivo correspondiente.

8. Transferencias internacionales

Tus datos se almacenan en servidores ubicados en la Unión Europea. No realizamos transferencias a países fuera del Espacio Económico Europeo.