Política de Privacidad

Última actualización: 27 de junio de 2026

Aviso: documento modelo pendiente de revisión por asesoría jurídica y de completar los datos de la entidad titular (los campos entre corchetes, p. ej. [RAZÓN SOCIAL], [NIF/CIF], [DOMICILIO]). No constituye asesoramiento legal.

Privacidad por diseño — nuestra promesa. PromptSafer detecta y anonimiza datos personales (PII) localmente, en el navegador del empleado, antes de que cualquier texto se envíe a un chatbot de IA (ChatGPT, Claude, Gemini, Copilot). El contenido de los prompts nunca sale del navegador. El backend y el panel de administración de este software solo reciben y almacenan contadores agregados del número de detecciones por tipo de dato, por empleado, por día y por herramienta de IA. Nunca se transmiten ni se guardan los valores reales detectados, ni hashes de esos valores, ni sus longitudes, ni el contenido de los prompts, ni datos de navegación. Esta política explica qué tratamos en el backend/panel y con qué garantías, en cumplimiento del RGPD (Reglamento UE 2016/679), la LOPDGDD (LO 3/2018) y la LSSI-CE (Ley 34/2002).

1. Responsable del tratamiento

El responsable del tratamiento de los datos descritos en esta política, salvo en los casos en que actúa como encargado según se indica más abajo, es:

Titular: [RAZÓN SOCIAL] ([FORMA JURÍDICA])
NIF/CIF: [NIF/CIF]
Domicilio social: [DOMICILIO SOCIAL]
Email de contacto: [EMAIL DE CONTACTO]
Email de privacidad / Delegado de Protección de Datos (DPD): [EMAIL DE PRIVACIDAD/DPD]
Teléfono: [TELÉFONO] (si aplica)
Sitio web: [DOMINIO]
Delegado de Protección de Datos (DPD): [DPD: nombre y contacto, si se designa]

Doble rol: responsable y encargado

PromptSafer (la entidad titular indicada) actúa con un doble rol en materia de protección de datos, según de qué datos se trate:

Como RESPONSABLE del tratamiento (art. 4.7 RGPD): respecto de las cuentas de administrador del panel (los usuarios de la empresa cliente que acceden al panel web) y respecto de los visitantes y leads de la web comercial. En estos casos PromptSafer decide los fines y medios del tratamiento.
Como ENCARGADO del tratamiento (art. 4.8 y art. 28 RGPD): respecto de los datos de los empleados de la empresa cliente (los usuarios finales de la extensión) y de los contadores agregados de detección asociados a ellos. En estos casos la empresa cliente es la RESPONSABLE y PromptSafer trata esos datos únicamente por cuenta y siguiendo las instrucciones del cliente, en el marco de un Acuerdo de Encargo de Tratamiento (DPA) conforme al art. 28 RGPD.

2. A quién aplica esta política

Esta política se dirige a las siguientes categorías de interesados, distinguiendo el rol de PromptSafer en cada caso:

Visitantes y leads de la web comercial ([DOMINIO]): personas que navegan por nuestro sitio web o que nos contactan. PromptSafer es responsable de estos datos.
Administradores del panel de clientes: personas de la empresa cliente con una cuenta para acceder al panel web y consultar los contadores de detección de su organización. PromptSafer es responsable de estos datos.
Empleados de la empresa cliente (usuarios de la extensión): personas cuyas detecciones agregadas se cuentan y cuyos datos identificativos básicos figuran en el panel. Respecto de estos datos, la empresa cliente es la responsable y PromptSafer actúa como encargado. El ejercicio de derechos de estos empleados se canaliza, con carácter general, a través de su empleador (ver sección 9).

Si usted es empleado de una empresa que utiliza PromptSafer, el responsable de sus datos es su empleador. PromptSafer solo trata esos datos por cuenta de su empresa. Para ejercer sus derechos, diríjase en primer lugar al responsable de privacidad de su organización.

3. Qué datos tratamos y con qué finalidad

A continuación se detalla el inventario real de datos personales tratados por el backend y el panel de PromptSafer. Es esencial entender qué no tratamos, por ser el núcleo del diseño del producto.

3.1. Cuentas de administrador del panel («members»)

Datos: email, nombre, hash de la contraseña (algoritmo scrypt; nunca la contraseña en claro), rol y organización a la que pertenece.
Finalidad: crear y autenticar la cuenta, dar acceso al panel, gestionar permisos y roles, y prestar el servicio contratado.
Rol de PromptSafer: responsable del tratamiento.

3.2. Empleados de la empresa cliente («ext_users»)

Datos: email corporativo, nombre para mostrar, departamento, y fechas de primera y última actividad.
Finalidad: identificar al empleado dentro del panel de su organización, asociar sus contadores de detección y permitir al administrador supervisar el uso de la extensión por su plantilla.
Rol de PromptSafer: encargado del tratamiento (la empresa cliente es responsable).

3.3. Contadores de detección («detection_counters»)

Datos: número agregado de detecciones por organización, empleado, día, tipo de PII (nombre, email, DNI, IBAN, teléfono, tarjeta, etc.) y herramienta de IA utilizada.
Lo que NO contienen: ningún valor real detectado, ningún hash de esos valores, ninguna longitud, ningún fragmento de prompt. Solo cuántas detecciones de cada tipo hubo.
Finalidad: ofrecer al administrador métricas agregadas sobre el volumen y tipo de datos personales que la extensión ha protegido, para fines de cumplimiento, concienciación y gobernanza del uso de IA.
Rol de PromptSafer: encargado del tratamiento (la empresa cliente es responsable).

3.4. Invitaciones y claves de empleado

Invitaciones: email del empleado invitado y hash del token de invitación (la invitación caduca a los 14 días). Finalidad: incorporar empleados a la organización de forma segura.
Claves personales de empleado: se almacena únicamente el hash, nunca la clave en claro. Finalidad: autenticación/identificación del dispositivo o usuario de la extensión.

3.5. Tokens de restablecimiento de contraseña y límites de tasa

Tokens de reseteo: se almacena solo el hash del token; caduca a la 1 hora. Finalidad: permitir el restablecimiento seguro de la contraseña.
Límites de tasa (rate limits): registros técnicos antiabuso. Finalidad: seguridad de la plataforma y prevención de abusos.

3.6. Email transaccional

Datos: dirección de email y datos mínimos necesarios para enviar correos de invitación y de restablecimiento de contraseña, a través del proveedor Resend.
Finalidad: envío de comunicaciones operativas estrictamente necesarias para el funcionamiento del servicio. No se envían comunicaciones comerciales por esta vía sin base jurídica específica.

3.7. Datos de visitantes y leads de la web

Datos: los que el usuario facilite voluntariamente a través de formularios de contacto o solicitud de información (p. ej., nombre, email, empresa, mensaje), y los datos técnicos estrictamente necesarios para la prestación del sitio.
Finalidad: atender consultas comerciales y de soporte. No utilizamos analítica de terceros ni cookies de seguimiento (ver sección de seguridad y la Política de Cookies).

Lo que el backend NUNCA trata: el contenido de los prompts, los valores reales de PII detectados, hashes o longitudes de esos valores, datos de navegación del empleado, ni categorías especiales de datos del art. 9 RGPD. La anonimización ocurre íntegramente en el navegador del empleado.

4. Base jurídica de cada tratamiento (art. 6 RGPD)

Cada tratamiento se ampara en una base de legitimación del art. 6 RGPD:

Cuentas de administrador del panel: ejecución de un contrato del que el interesado es parte o de medidas precontractuales (art. 6.1.b RGPD). Sin estos datos no es posible prestar el servicio del panel.
Email transaccional (invitaciones y reseteo): ejecución del contrato y prestación del servicio solicitado (art. 6.1.b RGPD), y, en su caso, interés legítimo en la seguridad de las cuentas (art. 6.1.f RGPD).
Seguridad de la plataforma, prevención de abusos y límites de tasa: interés legítimo de PromptSafer y del cliente en garantizar la seguridad e integridad del servicio (art. 6.1.f RGPD).
Visitantes y leads de la web: interés legítimo en atender la solicitud y gestionar la relación comercial, o consentimiento del interesado cuando este facilita sus datos a través de un formulario (art. 6.1.a/f RGPD).
Datos de empleados de la empresa cliente (ext_users y contadores agregados): la base jurídica la determina la empresa cliente como responsable, no PromptSafer. Típicamente se apoyará en el interés legítimo del empleador en la seguridad de la información y el cumplimiento normativo, o en una obligación legal aplicable al empleador (art. 6.1.f o 6.1.c RGPD). PromptSafer se limita a tratar estos datos por cuenta del cliente conforme al art. 28 RGPD.

5. Plazos de conservación

Conservamos los datos únicamente durante el tiempo necesario para las finalidades indicadas y según los siguientes plazos:

Contadores agregados de detección: 13 meses.
Registros de deduplicación de lotes: 60 días.
Invitaciones: 14 días (caducidad del token de invitación).
Tokens de restablecimiento de contraseña: 1 hora (caducidad del token).
Cuentas de administrador y de empleado: mientras dure la relación con la empresa cliente; tras su finalización, se suprimen o bloquean conforme a las obligaciones legales de conservación.
Copias de seguridad: según las políticas de retención de los proveedores de infraestructura, tras lo cual los datos se eliminan de las copias.

Finalizados los plazos, los datos se suprimen o se anonimizan de forma irreversible, salvo obligación legal de conservación (p. ej., obligaciones fiscales o de defensa frente a reclamaciones).

6. Destinatarios, encargados y subencargados

No vendemos ni cedemos datos personales a terceros con fines comerciales. Para prestar el servicio, recurrimos a los siguientes encargados/subencargados del tratamiento, todos ellos vinculados por contrato conforme al art. 28 RGPD:

Vercel: alojamiento y ejecución de la aplicación web. Región Frankfurt (UE).
Supabase: base de datos PostgreSQL donde residen las cuentas, los datos de empleados y los contadores agregados. Región Frankfurt (UE).
Resend: envío de email transaccional (invitaciones y restablecimiento de contraseña). Proveedor con sede en EE. UU. (ver sección 7).

Cuando PromptSafer actúa como encargado del cliente, estos proveedores tienen la condición de subencargados, y su incorporación o sustitución se rige por lo previsto en el Acuerdo de Encargo de Tratamiento (DPA) suscrito con la empresa cliente. Además, los datos podrán ser comunicados a autoridades públicas cuando exista una obligación legal.

7. Transferencias internacionales de datos

La infraestructura principal reside en la Unión Europea (Frankfurt, Alemania): tanto el alojamiento (Vercel) como la base de datos (Supabase) operan en territorio del EEE.

La única posible transferencia internacional fuera del EEE es la derivada del envío de email transaccional a través de Resend, proveedor con sede en Estados Unidos. Dicha transferencia se realiza con garantías adecuadas conforme al Capítulo V del RGPD, en particular mediante Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea y/o la certificación del proveedor bajo el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework), cuando resulte aplicable. Puede solicitar información sobre estas garantías en [EMAIL DE PRIVACIDAD/DPD].

8. Decisiones automatizadas y elaboración de perfiles

No se realizan decisiones automatizadas, incluida la elaboración de perfiles, que produzcan efectos jurídicos sobre los interesados o les afecten significativamente de modo similar (art. 22 RGPD). Los contadores son métricas agregadas de uso y no se emplean para adoptar decisiones automatizadas sobre las personas.

9. Derechos de los interesados y cómo ejercerlos

Usted puede ejercer, en los términos previstos en los arts. 15 a 22 RGPD, los siguientes derechos:

Acceso a sus datos personales (art. 15).
Rectificación de datos inexactos o incompletos (art. 16).
Supresión («derecho al olvido») (art. 17).
Oposición al tratamiento basado en interés legítimo (art. 21).
Limitación del tratamiento (art. 18).
Portabilidad de los datos que haya facilitado (art. 20).
A no ser objeto de decisiones individuales automatizadas (art. 22).

Cómo ejercerlos: puede dirigir su solicitud a [EMAIL DE PRIVACIDAD/DPD], identificándose adecuadamente. Atenderemos su solicitud en los plazos legales (con carácter general, un mes prorrogable).

Empleados de empresas cliente: si sus datos se tratan porque su empleador utiliza PromptSafer, el responsable es su empresa. Por ello, el ejercicio de sus derechos se canaliza a través de su empleador, que es quien decide sobre el tratamiento. PromptSafer, como encargado, asistirá a la empresa cliente en la atención de dichas solicitudes (art. 28.3.e RGPD).

Si considera que sus derechos no han sido debidamente atendidos, tiene derecho a reclamar ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan, 6, 28001 Madrid (www.aepd.es). Si la entidad titular o el tratamiento estuvieran sujetos a la normativa de Andorra, la autoridad competente sería la Agència Andorrana de Protecció de Dades (APDA).

10. Medidas de seguridad

Aplicamos medidas técnicas y organizativas apropiadas conforme al art. 32 RGPD, entre ellas:

Cifrado en tránsito (TLS/HTTPS) de todas las comunicaciones con el backend y el panel.
Hash de contraseñas con scrypt: las contraseñas de administrador nunca se almacenan en claro.
Almacenamiento solo de hashes de tokens (invitación, reseteo) y de claves personales de empleado; nunca los valores en claro.
Agregación por diseño: el backend solo recibe contadores; los valores de PII y el contenido de los prompts no abandonan nunca el navegador.
Aislamiento multiinquilino (multitenant): los datos de cada organización cliente están lógicamente segregados.
Residencia de datos en la UE (Frankfurt) para alojamiento y base de datos.
Minimización de datos: no se recogen longitudes, hashes de valores ni contenido de prompts; solo el recuento por tipo.
Controles de acceso, autenticación y límites de tasa para prevenir accesos no autorizados y abusos.

En caso de violación de la seguridad que afecte a datos personales, actuaremos conforme a los arts. 33 y 34 RGPD, notificando a la autoridad de control y, cuando proceda, a los interesados; y, cuando actuemos como encargados, informaremos sin dilación indebida a la empresa cliente responsable.

11. Menores de edad

PromptSafer es un producto dirigido a empresas y a sus empleados en el ámbito profesional. No está dirigido a menores de edad ni recogemos conscientemente datos de menores. Si tiene conocimiento de que un menor nos ha facilitado datos sin la debida autorización, contáctenos en [EMAIL DE PRIVACIDAD/DPD] para proceder a su supresión.

12. Cookies

El área de clientes utiliza una única cookie de sesión propia (gestionada por Auth.js), estrictamente necesaria para mantener la sesión autenticada y, por tanto, exenta del deber de consentimiento conforme al art. 22.2 LSSI-CE y las directrices de la AEPD. No empleamos cookies analíticas, publicitarias ni de seguimiento de terceros. Para más detalle, consulte nuestra Política de Cookies.

13. Cambios en esta política

Podemos actualizar esta Política de Privacidad para reflejar cambios legislativos, técnicos o en el servicio. Publicaremos la versión vigente en [DOMINIO] indicando su fecha de última actualización y, cuando los cambios sean sustanciales, lo comunicaremos por los medios apropiados. Le recomendamos revisarla periódicamente.

Nota sobre jurisdicción. Esta política se ha redactado conforme a la normativa española y de la UE (RGPD, LOPDGDD y LSSI-CE), con la AEPD como autoridad de control. Si la entidad titular fuera andorrana, resultarían de aplicación la Llei 29/2021, de 28 d'octubre, qualificada de protecció de dades personals de Andorra y la competencia de la Agència Andorrana de Protecció de Dades (APDA), extremo que debe confirmarse con asesoría legal según la sede efectiva del titular.