Política de privacidad

Versión del 23 de octubre de 2026

1. Quién es el responsable del tratamiento

El responsable del tratamiento de sus datos personales es Radosław Fedorczuk, que opera bajo la denominación ENSOMEDIA Radosław Fedorczuk, ul. Chorwacka 33/42, 51-107 Wrocław, Polonia, número de identificación fiscal (NIP) 8952195742, número de IVA de la UE PL8952195742, número del registro de empresas (REGON) 381626230, inscrito en el Registro Central e Información sobre la Actividad Económica de Polonia (CEIDG). En adelante nos denominamos «ENSOMEDIA» o «nosotros».

Esta política abarca el servicio ShieldWave en shieldwave.io (sitio web, aplicación de navegador, herramientas gratuitas y API) y las conexiones del plugin de WordPress «Ensomedia Security powered by shieldwave.io» con ShieldWave. Tratamos los datos con arreglo al Reglamento (UE) 2016/679 (Reglamento general de protección de datos, RGPD) y al Derecho polaco.

Contacto para cualquier asunto relativo a los datos personales:

• Correo electrónico: support@shieldwave.io

No hemos designado un delegado de protección de datos. El RGPD no exige que lo tengamos: nuestra actividad principal es comprobar sitios web, no la observación habitual de personas ni el tratamiento a gran escala de categorías especiales de datos.

2. Resumen

Bases jurídicas de la tabla: contrato es el artículo 6.1.b) del RGPD, obligación legal el artículo 6.1.c), interés legítimo el artículo 6.1.f), consentimiento el artículo 6.1.a).

3. Clientes y usuarios de la cuenta

3.1 Qué almacenamos

• su nombre de usuario y un hash bcrypt de su contraseña (no conocemos la contraseña);
• su dirección de correo electrónico, obligatoria en el registro: le enviamos a ella notificaciones, mensajes sobre el contrato y enlaces de restablecimiento de contraseña;
• su nombre y apellidos si los añade; su idioma, plan y ajustes;
• sesiones de inicio de sesión (24 horas) y enlaces de restablecimiento de contraseña (1 hora);
• claves de API, solo como hash, con el prefijo, el nombre y la fecha del último uso;
• sitios, programaciones, reglas de notificación, direcciones y secretos de webhook;
• para los informes con su logotipo: nombre de la agencia, logotipo y correo electrónico de contacto;
• invitaciones al equipo (equipos de hasta 10 personas): la dirección de correo electrónico de la persona invitada, durante 7 días;
• eventos de uso: el tipo de evento (por ejemplo registro, análisis, compra), el identificador de la cuenta, el dominio, la dirección IP y la identificación del navegador; el evento de registro contiene además el nombre de usuario y el correo electrónico.

Nuestros propios sistemas no almacenan el nombre de una empresa, la zona horaria, identificadores de dispositivo, datos de tarjeta ni datos de registro de dominio (WHOIS).

3.2 Para qué y con qué base

La cuenta, los análisis, los informes, la monitorización, el equipo, la API y los webhooks son la manera en que cumplimos nuestro contrato con usted (artículo 6.1.b) del RGPD). Los eventos de uso responden a nuestro interés legítimo en ver qué funciones se utilizan y qué falla, para poder mejorar el servicio (artículo 6.1.f)). La seguridad y las pruebas: sección 13. Son obligatorios un nombre de usuario, una contraseña y una dirección de correo electrónico; sin ellos no puede abrir una cuenta.

3.3 Personas invitadas a un equipo

Si un cliente le invitó a su equipo, su dirección de correo electrónico procede de él. La utilizamos solo para la invitación y para su acceso a la cuenta de ese cliente. La base es nuestro interés legítimo y el del cliente que le invita: el trabajo del equipo en su cuenta (artículo 6.1.f) del RGPD).

3.4 Cuánto tiempo

Conservamos los datos de la cuenta hasta que usted elimine la cuenta en su perfil. La eliminación surte efecto de inmediato; las copias de seguridad y los registros de nuestros proveedores se van borrando en un plazo de 30 días. Solo permanecen los datos de facturación (sección 4), el registro de eliminación (sección 13) y las pruebas (sección 16). Los eventos de uso se eliminan tras 12 meses o junto con la cuenta.

4. Pagos y facturas

Stripe gestiona los pagos en sus propias páginas; nunca vemos ni almacenamos números de tarjeta. Stripe recoge los datos de pago y de factura, como su dirección y su número de IVA. Pasamos a Stripe su correo electrónico, su nombre de usuario y el identificador de la cuenta para vincular el pago con su cuenta.

Almacenamos sus identificadores de cliente y de suscripción de Stripe, el plan, las fechas de fin del periodo de facturación y de la prueba y, en las compras únicas, los identificadores de sesión y de pago, el importe, la moneda y los informes a los que puede acceder, así como eventos de pago como las renovaciones y las cancelaciones.

Stripe Payments Europe, Limited gestiona los pagos por nosotros y actúa como responsable del tratamiento independiente para la prevención del fraude y para sus propias obligaciones legales, como explica su política de privacidad.

Emitimos facturas a las empresas y, a petición, a los consumidores. Las recibe nuestra asesoría contable y, cuando la ley lo exige, van al sistema nacional polaco de facturación electrónica (KSeF).

Las bases jurídicas son el contrato (artículo 6.1.b)) y nuestras obligaciones fiscales y contables (artículo 6.1.c)) con arreglo a la Ordynacja podatkowa (Ordenanza Tributaria polaca) y a la ustawa o podatku od towarów i usług (Ley polaca del IVA). La sección 16 indica los plazos de conservación.

5. Análisis encargados desde una cuenta

5.1 Qué hace un análisis

Un análisis encargado desde una cuenta lee lo que devuelve el servidor del sitio y solicita direcciones en las que suelen encontrarse archivos olvidados. Solo después de que usted confirme el control sobre el dominio (un registro DNS, un archivo, una metaetiqueta o un plugin conectado) envía además datos de prueba a los formularios y a las direcciones del sitio para ver si el sitio rechaza lo que debe rechazar. También consultamos servicios públicos sobre el dominio analizado (registros de certificados, DNS público, listas de sitios peligrosos y, una vez confirmado el dominio, servicios públicos de almacenamiento en la nube), enviándoles solo el nombre del dominio o nombres formados a partir de él.

5.2 Qué almacenamos

Almacenamos el resultado: el dominio, los hallazgos con las pruebas y hasta 5000 caracteres del texto de la página de inicio. Puede contener datos personales publicados en el sitio (sección 7). Los datos de acceso que facilite para un análisis tras un inicio de sesión se utilizan solo para ese análisis. Los informes en PDF se crean cuando usted los pide y no se almacenan.

Una vez confirmado el control del dominio, almacenamos además una captura de pantalla de la página de inicio y la mostramos en el informe. Muestra lo que la página de inicio muestra a cualquier visitante.

Si crea una insignia de estado, su página pública muestra el dominio, la calificación, la puntuación y la fecha del análisis. Los webhooks e integraciones que configure (Slack, Microsoft Teams, Discord, su propia dirección) reciben el dominio, la puntuación, la gravedad y el número de problemas.

5.3 Quién es el responsable

Si encarga análisis para su negocio (como empresa, agencia o empresario individual), usted decide qué sitios analizamos y es el responsable del tratamiento de los datos de terceros de los resultados, o el encargado del tratamiento de su propio cliente. Tratamos esos datos por su cuenta, solo para prestar el servicio, con arreglo al Acuerdo de tratamiento de datos, que forma parte de los Términos del servicio. Usted es responsable de su derecho a analizar el sitio y de informar a las personas cuando sea su obligación.

Si utiliza ShieldWave como consumidor, somos el responsable del tratamiento de los datos de terceros de los resultados y los utilizamos solo para realizar el análisis que usted encargó (interés legítimo, artículo 6.1.f)).

5.4 Cuánto tiempo

En el plan Gratis usted ve el resultado durante 7 días, y lo eliminamos como máximo 90 días después del análisis. En los planes Pro y Enterprise lo conservamos 12 meses. Un análisis por el que se compró un informe único se conserva 90 días. Eliminar la cuenta elimina también los resultados.

6. El análisis de demostración y las herramientas gratuitas

En la página de inicio cualquier persona puede ejecutar, sin cuenta, el análisis de demostración de un dominio que escriba. Las cuatro herramientas gratuitas comprueban el certificado, los registros de correo (SPF, DKIM, DMARC), las cabeceras de seguridad y las cookies instaladas antes del consentimiento. Estas comprobaciones son más breves: leen lo que devuelve el servidor, y el análisis de demostración solicita además una lista de direcciones en las que suelen encontrarse archivos olvidados. No envían datos de prueba a los formularios y no utilizan IA.

Solo usted ve el resultado, y no se guarda como análisis en ninguna cuenta. Conservamos:

• para el análisis de demostración, un evento con el dominio, la dirección IP y la identificación del navegador, durante 12 meses;
• para una herramienta gratuita, un evento con la herramienta y el dominio, sin la dirección IP, durante 12 meses;
• contadores de límite de peticiones por dirección IP (por ejemplo 3 análisis de demostración por hora), guardados como un hash de la dirección IP calculado con una clave secreta, no la dirección en sí, en la base de datos, durante un máximo de 2 horas;
• los resultados de las herramientas gratuitas, en memoria, durante 10 minutos, para no analizar el mismo dominio una y otra vez;
• la entrada del registro de peticiones en nuestro proveedor de alojamiento, cuya dirección contiene el dominio, durante 30 días.

La base jurídica es nuestro interés legítimo en mostrar cómo funciona ShieldWave, en responder sin cuenta y en proteger el servicio frente a abusos (artículo 6.1.f)).

Resultado por correo y revisión semanal

Debajo del resultado puede escribir una dirección de correo. Para ello conservamos durante 24 horas una copia del resultado (dominio, puntuación y los problemas mostrados) bajo un número aleatorio. Enviamos un correo con el resultado a esa dirección y guardamos la dirección junto con el dominio, la puntuación, los tipos de problemas encontrados y un hash de su dirección IP calculado con una clave secreta (como máximo 5 correos por hora desde una conexión). El correo tiene un botón que activa una revisión semanal: una vez por semana hacemos el mismo análisis de demostración de ese dominio y solo escribimos si la puntuación baja o aparece un problema nuevo. Cada uno de esos correos tiene un enlace que la detiene al momento.

Sin el botón no enviamos nada más y borramos la dirección a los 30 días. Tras el botón conservamos los datos hasta que detenga la revisión semanal y 30 días después. La base jurídica del primer correo es nuestro interés legítimo en responder a su petición (artículo 6.1.f)); la de la revisión semanal, su consentimiento dado con el botón (artículo 6.1.a)), que retira con el enlace de cada correo.

7. Personas cuyos datos aparecen en los sitios analizados

Si su nombre, su dirección de correo electrónico, su nombre de autor de WordPress u otros datos suyos están publicados en un sitio que alguien analiza con ShieldWave, pueden acabar en el resultado del análisis. La fuente de estos datos es ese sitio público.

No buscamos estos datos a propósito, no elaboramos perfiles con ellos y no nos ponemos en contacto con usted. Forman parte del informe y, en los análisis encargados desde una cuenta, del extracto enviado para el análisis de IA (sección 10). Los conservamos mientras se conserve el resultado (sección 5.4); el análisis de demostración y las herramientas gratuitas no los guardan.

Cuando un cliente encarga el análisis para su negocio, ese cliente es el responsable del tratamiento (sección 5.3). En otro caso lo somos nosotros, y la base jurídica es nuestro interés legítimo en realizar el análisis que alguien pidió y en hacer más seguros los sitios web (artículo 6.1.f)). Normalmente no disponemos de sus datos de contacto, y obtenerlos exigiría un esfuerzo desproporcionado y más datos, por lo que, en lugar de informar a cada persona, publicamos este aviso (artículo 14.5.b) del RGPD).

Usted tiene los derechos de la sección 17. Si el sitio es suyo, también puede pedirnos que excluyamos su dominio de todos los análisis: escriba a support@shieldwave.io desde una dirección de ese dominio, o demuestre de otra forma que lo controla. Excluimos el dominio en un plazo de 2 días hábiles y lo mantenemos en nuestra lista de exclusión. Más información: El escáner de ShieldWave y la exclusión de un dominio.

8. Conexiones del plugin de WordPress

El plugin «Ensomedia Security powered by shieldwave.io» es un software independiente bajo la GPL que se ejecuta en su sitio. Lo que almacena en su base de datos de WordPress permanece en su servidor, y la cookie que establece permanece en los navegadores de los usuarios de su sitio. Usted es el responsable del tratamiento de estos datos. Cuando el plugin pausa los inicios de sesión, su registro de actividad guarda la dirección IP, la hora y el nombre de usuario escrito (el nombre de usuario solo cuando esa cuenta existe) y los conserva durante el plazo configurado en el plugin, 90 días por defecto. Tras un inicio de sesión correcto, el plugin establece una cookie cuyo nombre empieza por shieldwave_kd_ (más información en la Política de cookies). El plugin es compatible con las herramientas de WordPress para exportar y borrar datos personales.

8.1 Sin funciones adicionales

En cada escaneo el plugin obtiene de WordPress.org sumas de comprobación e información de plugins y temas, enviando la versión de WordPress, el idioma, los nombres de carpeta y las versiones; WordPress añade la dirección de su sitio. Estas peticiones van a WordPress.org, no a nosotros.

8.2 Protección en vivo

Cuando un administrador del sitio activa la protección en vivo, el plugin nos envía la versión de WordPress y los nombres de carpeta y las versiones de plugins y temas para compararlos con las vulnerabilidades conocidas, descarga de nosotros un conjunto de reglas firmado aproximadamente una vez por hora (enviando solo la versión del plugin) y solicita una segunda opinión de la IA sobre archivos que el escáner no pudo resolver (sección 10.2).

8.3 Conexión a una cuenta de ShieldWave

Un administrador del sitio puede conectarlo a una cuenta de dos formas. «Conectar con shieldwave.io» abre shieldwave.io/connect con la dirección del sitio y una dirección en el sitio a la que volver. Cuando usted inicia sesión y confirma, emitimos un código de un solo uso, válido durante 5 minutos y solo para el host de ese sitio, y guardamos únicamente su hash, junto con la cuenta y el host. Su navegador lleva el código de vuelta al sitio, y el plugin lo canjea, de servidor a servidor, por una clave que solo sirve para la conexión de este sitio. Enviamos al plugin la clave, el plan y la dirección de correo electrónico o el nombre de usuario de la cuenta; el plugin los guarda en la base de datos de WordPress y muestra a qué cuenta está conectado el sitio. La otra forma es pegar una clave de API de su cuenta.

Una vez conectado, el plugin envía el identificador del sitio, el dominio, la dirección del sitio, las versiones del plugin, de WordPress y de PHP y el estado multisitio, y después una señal horaria de que está funcionando, con la puntuación y el número de problemas abiertos. Tras cada escaneo, salvo que un administrador lo haya desactivado en el plugin, envía los resultados: la puntuación, el tema activo, el idioma, los plugins y temas con sus versiones, y los problemas encontrados (título, descripción, solución, ruta, dirección, línea, número CVE), también los ignorados en WordPress, que van marcados como ignorados. Esto se aplica en todos los planes. En el plan Gratis se aplica a cada sitio que conecta la cuenta. Desde la versión 1.1.0, el plugin envía los problemas sobre cuentas de administrador solo con su título y su solución. Desde la versión 1.1.10 ocurre lo mismo con cualquier problema que nombre cuentas de usuario, por ejemplo una lista de usuarios legible públicamente, y el identificador de ese problema es un hash calculado con la clave secreta propia de su sitio, de modo que ningún nombre de inicio de sesión sale del sitio. Las versiones anteriores pueden incluir un nombre de inicio de sesión en la descripción.

Mientras el sitio está conectado, el plugin añade a la página de inicio una etiqueta meta shieldwave-verify con el código de confirmación de su cuenta para este dominio. shieldwave.io lee la página de inicio, sin conservarla, y cuando encuentra el código confirma que la cuenta controla el dominio (sección 5.1). El plugin lo solicita tras conectarse y, mientras el dominio no esté confirmado, como máximo cada 6 horas. Una copia del sitio en otra dirección no muestra la etiqueta.

También vemos la dirección IP del servidor de su sitio (registro de peticiones, 30 días).

8.4 Base jurídica y conservación

En un sitio conectado actuamos por cuenta de un cliente que lo utiliza para su negocio (sección 5.3), o para un consumidor con arreglo al contrato (artículo 6.1.b)). Tramitamos como responsable del tratamiento las peticiones sin cuenta (consulta de vulnerabilidades, reglas, segunda opinión de la IA), en nuestro interés legítimo en responder al administrador del sitio y en proteger el servicio (artículo 6.1.f)).

Los datos de un sitio conectado se conservan hasta que usted lo desconecte. Cuando desconecta el sitio en el plugin o lo elimina de Sitios WordPress en su cuenta, eliminamos el sitio, sus resultados y la clave que la conexión con un clic creó para él, y rechazamos los mensajes posteriores del plugin sobre ese sitio. Para ello conservamos solo el identificador del sitio y la fecha de eliminación, hasta que vuelva a conectar el sitio o elimine la cuenta. Una clave de API que haya pegado permanece en su cuenta hasta que la elimine en la página Claves API. La confirmación del dominio (sección 5.1) permanece en la cuenta, igual que una obtenida de otra forma. Eliminar la cuenta elimina todo ello. Desde la versión 1.1.10, eliminar el plugin en WordPress también nos pide desconectar el sitio, y entonces eliminamos sus datos como se describe arriba. El plugin envía esta petición solo cuando el sitio está conectado con una clave válida. Espera como máximo 5 segundos, y el plugin se elimina aunque la petición falle. Con una versión anterior, desconecte el sitio antes de eliminar el plugin. Si la petición no nos llega, elimine el sitio en su cuenta o escríbanos.

8.5 Señuelos y avisos de nuevas vulnerabilidades

Desde la versión 1.1.21, el administrador del sitio puede activar señuelos en el plugin: nombres de inicio de sesión que ninguna cuenta tiene y una ruta en robots.txt a la que no enlaza nada. Ambos están desactivados por defecto. Mientras el sitio está conectado y hay un señuelo activado, el plugin nos envía qué señuelos están activados y un registro de cada uso de uno de ellos: su tipo (inicio de sesión o ruta), la hora, por qué vía llegó el intento (el formulario de inicio de sesión, una contraseña de aplicación, XML-RPC o robots.txt), si la dirección fue bloqueada y, si no lo fue, por qué. En lugar de la dirección IP del visitante, el registro lleva un código de 16 caracteres que el plugin calcula a partir de la dirección con una clave secreta que nunca sale de su sitio. No podemos recuperar la dirección IP a partir del código: solo permite distinguir los intentos de una misma dirección en ese sitio, y el panel muestra esas direcciones como letras. Nunca recibimos la dirección IP, el nombre de inicio de sesión escrito, la identificación del navegador ni la dirección solicitada. Con los señuelos desactivados, el plugin no envía registros. Un intento de las últimas 24 horas crea además un aviso en la aplicación. Conservamos los registros 90 días y no aceptamos registros de más de 30 días; desconectar o retirar el sitio, o eliminar la cuenta, los elimina antes. Para estos registros actuamos como se describe en la sección 8.4.

Cuando una vulnerabilidad recién publicada afecta a una versión de un plugin, un tema o WordPress que un sitio conectado ha comunicado, avisamos a la cuenta según sus ajustes de notificación y registramos de qué sitio, vulnerabilidad, componente y versión trataba el aviso, para no enviar dos veces el mismo aviso. El registro se elimina junto con el sitio.

9. Personas a las que escribimos antes desde el dominio getshieldwave.com

No enviamos marketing por correo electrónico sin su consentimiento previo. Si antes del 29 de septiembre de 2026 recibió un mensaje de radek@getshieldwave.com, obtuvimos su dirección de correo electrónico profesional, y a veces su nombre y el nombre de su empresa, del sitio web público de su empresa o de un registro público (CEIDG, KRS). Conservamos la dirección, la correspondencia y la fecha de envío durante 12 meses desde el envío y, si usted se opone, solo la dirección en una lista de no contactar para que no volvamos a escribir. La base jurídica es nuestro interés legítimo en defendernos frente a reclamaciones y en respetar su oposición (artículo 6.1.f) del RGPD). Puede pedirnos que eliminemos estos datos: escriba a support@shieldwave.io.

10. Tratamiento mediante IA

10.1 Qué hace la IA

En los análisis encargados desde una cuenta, cuando el servicio de IA está disponible, un modelo de lenguaje:

• explica los hallazgos y redacta el resumen del informe, adaptado a lo que hace el negocio del sitio;
• redacta borradores de pasos de reparación;
• revisa la gravedad de los hallazgos y puede subirla o bajarla, y marca y rebaja las probables falsas alarmas; el resultado original del escáner se conserva y se muestra;
• describe las posibles consecuencias empresariales y jurídicas de los hallazgos; esto es informativo y no constituye asesoramiento jurídico (punto 8.1 de los Términos del servicio);
• sugiere qué pruebas se adaptan a la tecnología del sitio;
• traduce las descripciones de vulnerabilidades conocidas.

Mientras el control del dominio no esté confirmado, la IA solo redacta los textos del informe: no revisa la gravedad de los hallazgos ni sugiere pruebas.

Un segundo modelo contrasta el texto de la IA con los datos del escaneo. En el plugin, solo cuando el administrador del sitio lo ha activado, la IA ofrece una segunda opinión sobre un archivo que el escáner no pudo resolver.

La IA no mantiene conversaciones, no toma decisiones sobre personas y nunca edita, pone en cuarentena, elimina ni bloquea nada. El análisis de demostración y las herramientas gratuitas no utilizan IA. Marcamos el texto redactado por la IA con la etiqueta «IA».

10.2 Qué enviamos al proveedor de IA

De los análisis encargados desde una cuenta: el dominio, los hallazgos técnicos (tipo, gravedad, dirección, cabeceras, hasta 500 caracteres de pruebas por hallazgo) y un extracto de la página de inicio (hasta 3000 caracteres con el título, la descripción, los encabezados y el pie de página). Este extracto puede contener nombres o datos de contacto publicados en el sitio.

Del plugin: un extracto del archivo de hasta 6000 caracteres, las huellas del archivo (sha256, md5), el tamaño, el nombre de la carpeta del componente, los identificadores de reglas, el ajuste de idioma del sitio, la versión del plugin y un hash con sal del identificador del sitio. Desde la versión 1.1.10, el plugin elimina del extracto la dirección del sitio, las direcciones de correo electrónico, las direcciones IPv4 e IPv6, las rutas de WordPress y de las carpetas personales en el servidor, todas las constantes DB_ y los argumentos de las conexiones a bases de datos, las constantes y los valores con nombres que indican una contraseña, clave, sal, secreto o token (cuando tienen 6 caracteres o más), y los tokens aleatorios largos. Las demás direcciones web se mantienen. Si la eliminación falla, no se envía nada. Las versiones anteriores solo eliminaban contraseñas, claves, direcciones de correo electrónico y el nombre de host del sitio.

Nunca enviamos datos de la cuenta, contraseñas ni datos de pago. Desde la versión 1.1.10, para la segunda opinión el plugin nunca lee los archivos cuyo nombre empieza por wp-config o .env, los archivos .htpasswd, .user.ini, php.ini y auth.json, las copias de seguridad, los volcados de bases de datos (.sql), los archivos de registro ni los archivos .ini. Las versiones anteriores nunca enviaban wp-config.php ni .env.

10.3 Proveedor y conservación

Nuestro proveedor de IA es Groq; la parte contratante para los clientes del EEE es Groq UK Limited, y los datos se tratan en EE. UU. (sección 15). A nuestro proveedor de IA se le prohíbe contractualmente utilizar estos datos para entrenar modelos. No los almacena, salvo hasta 30 días cuando investiga un problema de fiabilidad o un presunto abuso.

Nuestra propia caché conserva las respuestas de la IA hasta 1 hora en memoria y 24 horas en la base de datos. Los veredictos sobre archivos del plugin se conservan por huella del archivo sin límite de tiempo y se reutilizan para el mismo archivo en otros sitios; almacenamos la huella y el veredicto, sin el nombre del sitio. También registramos que un archivo con esa huella apareció en un sitio identificado por un hash con sal; eliminamos ese registro tras 12 meses.

La base jurídica es el contrato para los análisis encargados desde una cuenta (artículo 6.1.b)), y nuestro interés legítimo para la segunda opinión del plugin sin cuenta y para los datos de terceros en los extractos (artículo 6.1.f)). Cuando un cliente empresarial o un empresario individual con derechos de consumidor encarga el análisis, tratamos los datos de terceros de los extractos por su cuenta (sección 5.3). Más información: IA en ShieldWave.

11. Correo electrónico

11.1 Correos que enviamos

Desde noreply@shieldwave.io enviamos a la dirección de correo electrónico de la cuenta: una bienvenida tras el registro, el aviso de que un análisis ha terminado y qué vulnerabilidades ha encontrado, alertas de monitorización y de disponibilidad, confirmaciones de compra, los informes que usted pide y enlaces de restablecimiento de contraseña. La base jurídica es el contrato (artículo 6.1.b)). Los envía nuestro proveedor de correo, Hostido.pl Gałązka Spółka jawna (sección 14). A la dirección escrita debajo del resultado del análisis de demostración enviamos ese resultado y, solo después del botón de ese correo, un aviso semanal cuando el resultado del sitio empeora (sección 6).

No tenemos boletín, y le pediremos su consentimiento antes de enviarle cualquier marketing. Nuestros correos no contienen píxeles ni enlaces que midan aperturas y clics.

11.2 Cuando usted nos escribe

Cuando usted escribe a support@shieldwave.io, tratamos su dirección y su mensaje para responderle. La base jurídica es el contrato (artículo 6.1.b)), para las reclamaciones también una obligación legal (artículo 6.1.c)) y, en los demás casos, nuestro interés legítimo en responder y conservar pruebas (artículo 6.1.f)).

Lo mismo se aplica cuando nos pide, con el formulario bajo el resultado de un análisis de demostración, que arreglemos los problemas encontrados. La solicitud llega a support@shieldwave.io como un correo con la dirección, el nombre y el mensaje que usted indique y el resultado de ese análisis (dominio, puntuación, problemas encontrados). La usamos solo para responder a esta solicitud. La base jurídica es su consentimiento dado con la casilla del formulario (artículo 6.1.a)) y las medidas aplicadas a petición suya antes de un contrato (artículo 6.1.b)). La conservamos como el resto de la correspondencia (sección 16); retira el consentimiento escribiendo a support@shieldwave.io.

11.3 Pedido de limpieza de un sitio

Cuando usted pide en el panel la limpieza de un sitio hackeado, guardamos el dominio, la descripción del problema que indica, el correo de la cuenta y su consentimiento para acceder al sitio, para preparar un presupuesto y hacer el trabajo. La base jurídica es el contrato y las medidas precontractuales (artículo 6.1.b)). Conservamos la solicitud hasta que se elimine la cuenta. Si el trabajo se realizó, los documentos del contrato y de la facturación se conservan como las demás pruebas del contrato y las facturas (sección 16).

12. Sitio web, cookies y analítica

Las peticiones al sitio llegan directamente a nuestro proveedor de alojamiento, Google Cloud. Cloudflare solo responde a las consultas DNS sobre nuestro dominio y no ve las peticiones; antes de dirigir el tráfico a través de Cloudflare para proteger el sitio, con lo que vería todas las peticiones con la dirección IP, modificaremos esta política. El registro de peticiones de nuestro proveedor de alojamiento recoge la dirección IP, la hora, la dirección de la página, la identificación del navegador y la dirección de la página de referencia; lo conservamos 30 días. La base jurídica es nuestro interés legítimo en hacer funcionar y proteger el sitio (artículo 6.1.f)).

Con tu consentimiento, las funciones publicitarias de Google y Meta Pixel miden nuestros anuncios, visitas y compras. Meta recibe identificadores del navegador y de clics, direcciones de páginas e importe y moneda de compra, no dominios ni resultados de análisis. Puedes retirar el consentimiento en los ajustes de cookies. Google Tag Manager y Google Analytics 4 requieren consentimiento analítico; Meta Pixel requiere consentimiento analítico y de marketing. Las cookies necesarias no dependen de estas opciones.

Meta Platforms Ireland Limited: Privacidad de Meta, Cookies de Meta. Cookies _fbp y _fbc: hasta 90 días. La coincidencia avanzada y la API de conversiones están desactivadas. El píxel también requiere consentimiento analítico porque solo este carga el contenedor. Retirar el consentimiento de marketing detiene el píxel y elimina sus cookies.

También contamos las visitas a las páginas, sin cookies. En cada visita a este sitio su navegador nos envía un mensaje breve: la dirección de la página (sin la parte posterior a «?»), la dirección del sitio de referencia, los valores utm_source, utm_medium y utm_campaign de la dirección de la página y si la dirección llevaba un identificador de clic de Google Ads (no el identificador en sí). De la identificación del navegador deducimos solo el tipo de dispositivo (teléfono, tableta u ordenador) y, a partir de una cabecera de nuestro proveedor de alojamiento, si la facilita, el país; después descartamos la identificación del navegador. El resultado se suma a un total diario. No guardamos ninguna dirección IP, ninguna identificación del navegador ni ningún identificador de una persona, no establecemos ninguna cookie y no escribimos nada en su navegador, por lo que no podemos distinguir las visitas de una misma persona ni reconocer a un visitante que vuelve. Las visitas de programas automáticos no se cuentan, y las visitas del propio operador se cuentan aparte. El mensaje nos llega como cualquier petición, por lo que el registro de peticiones de nuestro proveedor de alojamiento (arriba) también contiene su dirección IP durante 30 días. Conservamos los totales diarios 13 meses. La base jurídica es nuestro interés legítimo en saber qué páginas y campañas se visitan (artículo 6.1.f)). Usted puede oponerse (sección 17.3), y bloquear la petición en su navegador pone fin al recuento.

Detalles, incluida la lista de cookies y del almacenamiento del navegador: Política de cookies.

13. Seguridad y registros de abusos

13.1 Qué registramos

• un registro de eventos de la cuenta (por ejemplo registro, cambios en la cuenta) con direcciones IP;
• el registro de peticiones en nuestro proveedor de alojamiento;
• contadores de límite de peticiones por dirección IP y por cuenta, en la memoria del servidor;
• su declaración de que tiene derecho a analizar un sitio: cuenta, dominio, hora, dónde se prestó, dirección IP e identificación del navegador;
• un registro de la eliminación de la cuenta (identificador y nombre del usuario, dirección IP, fecha);
• la lista de dominios excluidos de los análisis, y las solicitudes de exclusión.

La base jurídica es nuestro interés legítimo (artículo 6.1.f)) en proteger el servicio, a nuestros clientes y a los sitios analizados frente a abusos, como analizar sitios ajenos sin autorización, eludir límites o atacar el servicio; en demostrar que actuamos conforme a la ley y al contrato; y en formular, ejercer o defender reclamaciones.

13.2 Cómo protegemos los datos

Las conexiones están cifradas (TLS, HSTS); las contraseñas se almacenan como hashes bcrypt y las claves de API como hashes; la cookie de sesión es HttpOnly, Secure y SameSite=Strict. Protegemos los formularios frente a peticiones falsificadas, limitamos las peticiones por dirección IP y por cuenta, y bloqueamos las peticiones del escáner a direcciones internas. El servicio funciona en la UE en Google Cloud, con el cifrado en reposo del proveedor, el control de acceso y el gestor de secretos; las peticiones le llegan a través de la infraestructura frontal de Google (Google Front End), que filtra los ataques de red. Mantenemos un registro de eventos de la cuenta, eliminamos datos automáticamente según las reglas de conservación, y solo el titular del negocio puede acceder a los sistemas de producción.

14. Destinatarios

También reciben datos los destinatarios que usted elige: Slack, Microsoft Teams, Discord y su propia dirección de webhook (sección 5.2). Es su sitio con el plugin, y no nosotros, quien contacta con WordPress.org (sección 8.1).

La lista actual con los detalles: Subencargados y destinatarios. Antes de empezar a transmitir datos a un nuevo proveedor, lo añadimos a esa lista.

15. Transferencias fuera del EEE

Cloudflare, Groq, Stripe y las empresas del grupo Google pueden tratar datos en EE. UU. Para estas transferencias nos basamos en:

• el Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795 de la Comisión) para las empresas que participan en él; Cloudflare aplica además cláusulas contractuales tipo;
• las cláusulas contractuales tipo adoptadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión para las demás empresas, incluida Groq.

Le enviaremos una copia de estas garantías previa solicitud: escriba a support@shieldwave.io.

16. Cuánto tiempo conservamos los datos

17. Sus derechos

17.1 Qué derechos tiene

Usted tiene derecho de acceso a sus datos y a obtener una copia (artículo 15 del RGPD), de rectificación (artículo 16), de supresión (artículo 17), de limitación del tratamiento (artículo 18), de portabilidad de los datos que nos facilitó en virtud de un contrato o del consentimiento (artículo 20) y de oposición (artículo 21, sección 17.3). Puede retirar el consentimiento en cualquier momento; ello no afecta al tratamiento anterior a la retirada (artículo 7.3).

17.2 Cómo ejercerlos

En su perfil puede corregir sus datos, descargar los datos de su cuenta en JSON (perfil, análisis, dominios monitorizados, notificaciones) y eliminar la cuenta. Para cualquier otra cosa, escriba a support@shieldwave.io. Respondemos en el plazo de un mes; en un caso complejo podemos prorrogarlo dos meses más y le explicaremos por qué. Podemos pedirle que confirme que los datos le conciernen, por ejemplo escribiendo desde la dirección de la cuenta.

Si sus datos figuran en los resultados de un análisis que un cliente encargó para su negocio, trasladamos su solicitud a ese cliente como responsable del tratamiento y le ayudamos a atenderla.

17.3 Derecho de oposición

Usted puede oponerse en cualquier momento, por motivos relacionados con su situación particular, al tratamiento de sus datos basado en nuestro interés legítimo (artículo 6.1.f) del RGPD). Entonces dejaremos de tratarlos, salvo que acreditemos motivos legítimos imperiosos que prevalezcan sobre sus intereses, derechos y libertades, o que el tratamiento sea necesario para la formulación, el ejercicio o la defensa de reclamaciones.

Puede oponerse en cualquier momento, sin necesidad de motivos, al tratamiento de sus datos con fines de marketing.

17.4 Decisiones automatizadas

No tomamos ninguna decisión sobre usted basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos sobre usted o le afecte significativamente de modo similar (artículo 22 del RGPD). La IA evalúa problemas técnicos de sitios web, no personas.

18. Reclamación ante una autoridad de control

Puede presentar una reclamación ante el Prezes Urzędu Ochrony Danych Osobowych (Presidente de la Oficina de Protección de Datos Personales), ul. Stanisława Moniuszki 1A, 00-014 Warszawa, Polonia, uodo.gov.pl, o ante la autoridad de protección de datos del país de la UE en el que resida o trabaje o en el que se haya producido la infracción. Puede escribirnos primero; intentaremos resolver el asunto.

19. Personas fuera de la Unión Europea

Estamos establecidos en Polonia y aplicamos el RGPD a todas las personas, vivan donde vivan. No tenemos representante fuera de la Unión Europea. Si la ley de su país le otorga más derechos, escríbanos y le responderemos.

20. Edad

Debe tener al menos 18 años para abrir una cuenta de ShieldWave. No recogemos a sabiendas datos de menores. Si tenemos conocimiento de que una persona más joven abrió una cuenta, la eliminaremos.

21. Cambios en esta política

Modificamos esta política cuando cambian el servicio, nuestros proveedores o la ley, y publicamos cada versión en esta página con su fecha y una entrada en el historial de cambios. Antes de que surtan efecto los cambios en la forma en que tratamos los datos de los clientes, se lo comunicamos por correo electrónico a los titulares de cuentas. Enviaremos una versión anterior previa solicitud.

Cuando enviamos o mostramos un aviso de un cambio, por correo electrónico o como aviso en la aplicación, registramos para cada cuenta cuándo se envió o se mostró por primera vez y cuándo se cerró o se aceptó, para poder demostrar que se dio el aviso. La base jurídica es nuestro interés legítimo en demostrar que le informamos (artículo 6.1.f)). Conservamos este registro hasta que se elimine la cuenta.

22. Historial de cambios

• 23 de octubre de 2026: el resultado del análisis de demostración por correo y la revisión semanal del dominio tras un clic en ese correo (secciones 2, 6, 11.1 y 16). Afecta a personas sin cuenta, no al tratamiento de datos de clientes, por lo que no se envía el aviso de la sección 21.
• 24 de octubre de 2026, añadido sin nueva versión: la solicitud de arreglo de los problemas de un análisis de demostración con el formulario bajo su resultado (sección 11.2). Afecta a personas sin cuenta, no al tratamiento de datos de clientes, por lo que no se envía el aviso de la sección 21.
• 22 de octubre de 2026: en el plan Free el plugin envía resultados de cada sitio conectado (sección 8.3); contadores de límite del análisis de demostración como hash de la dirección IP en la base de datos durante un máximo de 2 horas (secciones 6 y 16); pedido de limpieza de un sitio (sección 11.3).
• 19 de octubre de 2026: plugin de WordPress 1.1.21 y plan Gratis. Registros del uso de señuelos y avisos de nuevas vulnerabilidades en los sitios conectados (secciones 2, 8.5 y 16); en el plan Gratis el plugin envía los resultados de tres sitios (sección 8.3).
• 20 de octubre de 2026, adición sin nueva versión: el recuento anónimo de visitas a páginas sin cookies (secciones 12 y 16). Se refiere a los visitantes del sitio, no al tratamiento de datos de clientes, por lo que no se envía el aviso de la sección 21.
• 8 de octubre de 2026: plugin de WordPress 1.1.10. Lo que el plugin guarda en su servidor y la cookie que establece tras un inicio de sesión (sección 8); reglas aproximadamente una vez por hora (sección 8.2); los problemas que nombran cuentas de usuario se envían sin nombres de inicio de sesión (sección 8.3); eliminar el plugin nos pide desconectar el sitio (sección 8.4); lo que el plugin elimina de los extractos para la segunda opinión de la IA y qué archivos nunca lee (sección 10.2).
• 30 de septiembre de 2026: la conexión del plugin de WordPress con un clic y lo que el plugin envía en cada plan, incluidos los problemas ignorados en WordPress (sección 8.3); la etiqueta de verificación que el plugin muestra en la página de inicio (sección 8.3); desconectar un sitio elimina sus datos (secciones 8.4 y 16); el registro de los avisos de cambios (secciones 16 y 21).
• 29 de septiembre de 2026, corrección del mismo día: Cloudflare hoy solo responde a las consultas DNS sobre nuestro dominio y no ve las peticiones al sitio; indicamos qué cambia cuando dirijamos el tráfico a través de ella (secciones 12, 13.2 y 14). Se añaden los servicios públicos de almacenamiento en la nube a los servicios públicos consultados sobre un dominio analizado (secciones 5.1 y 14).
• 29 de septiembre de 2026: esta versión sustituye a la política de privacidad de febrero de 2026. Corrige los datos del responsable, la lista de proveedores, la descripción de los datos enviados a la IA y los plazos de conservación, y añade avisos para las personas que no son nuestros clientes.

21 de octubre de 2026: Meta Pixel (visitas y compras), consentimiento de marketing y nueva solicitud de consentimiento (versión 3).