Política de Privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales recabados a través de OSINT UI (https://osint-ui.com) es:

• Titular: Alex Fernández Santos (persona física)
• Correo de contacto y privacidad: osint-ui@proton.me

Cualquier comunicación relacionada con la protección de datos, así como el ejercicio de los derechos reconocidos en el RGPD, se gestiona exclusivamente a través de la dirección de correo electrónico indicada.

2. Información que recopilamos

Tratamos únicamente los datos necesarios para prestar el servicio. En función de tu uso de la plataforma, podemos tratar las siguientes categorías de datos:

2.1. Datos de cuenta

• Dirección de correo electrónico.
• Hash de la contraseña (cifrada mediante bcrypt, coste 12 — nunca almacenamos la contraseña en claro).
• Nombre (opcional).
• Secreto TOTP para autenticación en dos factores (2FA), almacenado cifrado con AES-256-GCM.
• Marcas temporales de creación y actualización de la cuenta.

2.2. Datos de suscripción y pago

• Plan y estado de la suscripción (FREE / PRO).
• Identificador de cliente y de suscripción de Stripe.
• Los datos de tu tarjeta son gestionados directamente por Stripe. La aplicación nunca almacena ni tiene acceso a números de tarjeta.

2.3. Claves API de servicios de terceros

• Las claves API que introduces para servicios OSINT externos se almacenan cifradas en reposo con AES-256-GCM. La aplicación no puede utilizarlas más allá del contexto de tu sesión.

2.4. Tokens de restablecimiento de contraseña

• Se almacenan hasheados (SHA-256) y con caducidad limitada.

2.5. Uso de herramientas

• Registro de qué herramienta se ha utilizado y cuándo, con la finalidad de aplicar límites de uso y elaborar analíticas internas.

2.6. Analítica propia (first-party)

• Eventos de uso (nombre del evento + identificador de usuario), sin cookies adicionales.

2.7. Dirección IP

• Se utiliza de forma transitoria y en memoria, únicamente para la limitación de peticiones (rate-limiting) y la prevención de abusos. No se conserva a largo plazo.

2.8. Consentimiento de marketing

• Indicador de consentimiento, almacenado solo si optas por recibir comunicaciones comerciales.

2.9. Mensajes de soporte

• El asunto y el mensaje que envías a través del formulario de soporte se remiten por correo electrónico al responsable.

3. Finalidades y bases jurídicas del tratamiento

Finalidad	Base jurídica (RGPD art. 6)
Crear y mantener tu cuenta y prestar el servicio	Ejecución de un contrato (art. 6.1.b)
Gestión de suscripciones y obligaciones de facturación/fiscales	Ejecución de un contrato y obligación legal (art. 6.1.b y 6.1.c)
Seguridad de la plataforma, rate-limiting y prevención de abusos y fraude	Interés legítimo (art. 6.1.f)
Analítica propia (first-party) para mejorar el servicio	Interés legítimo (art. 6.1.f)
Envío de comunicaciones comerciales	Consentimiento (art. 6.1.a)
Cookies no esenciales (analítica)	Consentimiento (art. 6.1.a)

El consentimiento es libre, específico, informado y revocable en cualquier momento sin que ello afecte a la licitud del tratamiento previo a su retirada.

4. Plazos de conservación

• Datos de cuenta y de suscripción: mientras la cuenta permanezca activa. Tras la eliminación de la cuenta, se suprimen o anonimizan, salvo los datos que deban conservarse por obligación legal.
• Datos de facturación: durante los plazos exigidos por la normativa fiscal y mercantil aplicable.
• Tokens de restablecimiento de contraseña: hasta su uso o caducidad.
• Registros de uso de herramientas y analítica: durante el tiempo necesario para las finalidades de límites y análisis, tras lo cual se agregan o eliminan.
• Dirección IP: de forma transitoria, sin conservación a largo plazo.
• Mensajes de soporte: durante el tiempo necesario para atender la solicitud y dejar constancia de la misma.

5. Destinatarios y encargados del tratamiento

Para prestar el servicio recurrimos a proveedores que actúan como encargados del tratamiento, con los que se han suscrito (o se suscribirán) los correspondientes contratos de encargo (DPA):

Proveedor	Finalidad	Ubicación
IONOS	Alojamiento / VPS	UE (Alemania)
Stripe	Procesamiento de pagos	EE. UU.
Resend	Envío de correo transaccional	EE. UU.
Microsoft Clarity	Analítica de producto / mapas de calor (solo tras consentimiento de cookies)	EE. UU.
Google	Google Tag Manager / Analytics (solo tras consentimiento de cookies)	EE. UU.

Transferencias internacionales

Algunos de estos proveedores se encuentran fuera del Espacio Económico Europeo. Dichas transferencias se amparan en las Cláusulas Contractuales Tipo (SCC) de la Comisión Europea y, cuando resulta aplicable, en el EU-US Data Privacy Framework (caso de Stripe), garantizando un nivel de protección adecuado.

6. Tus derechos

Puedes ejercer los siguientes derechos reconocidos por el RGPD:

• Acceso a tus datos personales.
• Rectificación de datos inexactos.
• Supresión ("derecho al olvido") — la aplicación incluye una función "eliminar cuenta".
• Oposición al tratamiento.
• Limitación del tratamiento.
• Portabilidad — la aplicación ofrece la función "exportar mis datos".
• Retirada del consentimiento en cualquier momento.

Para ejercer cualquiera de estos derechos, escribe a osint-ui@proton.me. Asimismo, tienes derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), en https://www.aepd.es, si consideras que el tratamiento no se ajusta a la normativa.

7. Medidas de seguridad

Aplicamos medidas técnicas y organizativas apropiadas, entre ellas:

• Cifrado de las comunicaciones mediante HTTPS/TLS con HSTS.
• Contraseñas protegidas con bcrypt (coste 12).
• Claves API y secretos TOTP cifrados en reposo con AES-256-GCM.
• Sesiones basadas en JWT y 2FA opcional.
• Rate limiting y control de acceso restringido a zonas de administración.
• Minimización de datos y gestión cifrada de secretos.

8. Cambios en esta política

Podemos actualizar esta Política de Privacidad para reflejar cambios legales, técnicos u operativos. La fecha de "última actualización" indica la versión vigente. Te recomendamos revisarla periódicamente. Los cambios sustanciales podrán comunicarse a través de la plataforma o por correo electrónico.