Los datos que tenemos — y los datos que matemáticamente no podemos tener.

Quiénes somos

PulsVault es un gestor de contraseñas y secretos de conocimiento cero. Somos el responsable del tratamiento de los datos de cuenta descritos a continuación. Cuando usted usa PulsVault a través de un empleador, un organizador familiar o el propietario de un equipo, esa organización es la responsable del contenido de las bóvedas compartidas dentro de su organización, y nosotros actuamos como su encargado del tratamiento.

Esta política abarca nuestro sitio web, la consola web, nuestras aplicaciones móviles y la API de secretos de DevOps. No abarca los sitios de terceros a los que enlazamos.

Lo que no podemos ver

El cifrado y el descifrado se realizan íntegramente en el cliente — su navegador o aplicación. La clave que protege su bóveda se deriva de su contraseña maestra en su dispositivo y se usa para envolver una cadena de claves que solo almacenamos en forma cifrada. En concreto, lo siguiente nunca llega a nuestros servidores en texto sin cifrar:

• Su contraseña maestra y el secreto derivado de ella.
• Su clave UMK del usuario y las claves de cifrado de datos de cada bóveda.
• El contenido de los elementos de la bóveda — contraseñas, notas, datos de tarjetas, campos personalizados, archivos adjuntos y sus nombres de archivo.
• Su clave de acceso y su clave de recuperación. Solo almacenamos un hash unidireccional de cada una.
• La clave simétrica de un enlace seguro para compartir, que vive únicamente en el fragmento de la URL que usted envía y nunca se nos transmite.

Lo que sí almacenamos es texto cifrado más los metadatos necesarios para enrutarlo: a qué bóveda pertenece un elemento, cuándo se creó o modificó y su tipo. Consulte nuestro modelo de seguridad para ver la jerarquía de claves completa.

Lo que recopilamos

Datos de la cuenta

Su dirección de correo electrónico, su nombre visible, el plan elegido y el estado de su cuenta. Los necesitamos para crear una cuenta, enviarle mensajes del servicio y aplicar los límites de su plan.

Datos de seguridad y de dispositivo

Para detectar la usurpación de cuentas registramos los eventos de inicio de sesión con la dirección IP y el agente de usuario que los produjeron, una etiqueta de huella del dispositivo que sirve para vincular una sesión al dispositivo que la abrió, y los registros de dispositivos de confianza que usted aprueba. Los intentos de autenticación fallidos repetidos desde una dirección dan lugar al bloqueo temporal de esa dirección.

Datos de auditoría

Las acciones relevantes para la seguridad — iniciar sesión, desbloquear una bóveda, compartir, cambios de permisos, rotación de claves, uso de claves de API — se escriben en un registro de auditoría encadenado por hash y con detección de manipulaciones, vinculado a su cuenta y, cuando procede, a su organización. Las entradas registran que una acción ocurrió, no el texto sin cifrar sobre el que actuó.

Datos de facturación

Su nivel de suscripción, periodo de facturación y estado de pago. Los números de tarjeta los gestiona nuestro procesador de pagos y nunca pasan por nuestros servidores; recibimos una referencia de cliente y el resultado del cargo.

Datos de soporte

Si se pone en contacto con nosotros, conservamos la correspondencia y todo lo que decida incluir en ella. Por favor, no nos envíe secretos — no podemos leer su bóveda y no queremos una copia en un buzón de correo.

Supervisión de filtraciones

Si activa la monitorización de filtraciones, comprobamos las direcciones de correo electrónico que usted indique con un corpus de filtraciones de terceros y almacenamos los resultados para poder avisarle. Las comprobaciones de filtraciones de contraseñas se realizan sin revelar su contraseña.

Cómo los usamos

• Para operar el servicio: autenticarle, sincronizar su bóveda cifrada y aplicar los límites de su plan.
• Para mantener seguras las cuentas: limitación de frecuencia, bloqueo de IP, detección de anomalías y el registro de auditoría que usted puede consultar.
• Para facturarle, y para gestionar reembolsos, reclamaciones de impago y obligaciones fiscales.
• Para enviar mensajes del servicio — verificación, cambios de contraseña, alertas de seguridad y avisos del plan.
• Para prestar soporte cuando usted lo solicite.
• Para cumplir obligaciones legales y para establecer o defender reclamaciones legales.

Bases jurídicas

Cuando se aplica el GDPR o una ley equivalente, nos basamos en las siguientes bases:

Quién más lo trata

Mantenemos la lista de subencargados deliberadamente corta. Cada uno está sujeto a un acuerdo de tratamiento de datos y ninguno puede leer el contenido de sus bóvedas — lo que conservan es texto cifrado o datos a nivel de cuenta.

Si conecta una integración en la nube opcional, como Google Drive u OneDrive, para las copias de seguridad, ese proveedor recibe la exportación cifrada que usted le envía. Anunciamos los cambios sustanciales de esta lista antes de que entren en vigor.

Cuánto tiempo los conservamos

• Datos de la bóveda — hasta que usted los elimine. Los elementos eliminados van primero a la papelera y después se eliminan de forma permanente.
• Datos de la cuenta — mientras exista la cuenta. Cuando elimina su cuenta, se borra de nuestros sistemas activos 14 días después, y de nuestras copias de seguridad cuando esas copias caducan. Eliminar una organización la borra, junto con todas sus cuentas, del mismo modo.
• Cuentas cuyo plan ha terminado — solo lectura durante 14 días y después bloqueadas. Una cuenta que permanece bloqueada durante 90 días se elimina tras una cuenta atrás adicional de 14 días, salvo que se suscriba; le enviamos un correo electrónico 30, 7 y 1 días antes de que se borre, y contratar un plan en cualquier momento la cancela. Una organización se elimina con todas sus cuentas.
• Registros de baja — cuando se elimina una cuenta, conservamos un registro anónimo de su plan, su tamaño y el motivo indicado, para poder saber por qué se van los clientes.
• Registros de auditoría — durante el periodo de retención que ofrece su plan, tras el cual las entradas caducan automáticamente. Los registros de auditoría se conservan durante su periodo de retención incluso después de eliminar una cuenta, como registro de seguridad — el registro tiene detección de manipulaciones, por lo que una entrada no puede eliminarse antes de tiempo sin romperlo. Un pequeño número de registros de seguridad, como la descarga de una copia de seguridad de la organización, se conservan de forma permanente.
• Eventos de seguridad — los bloqueos de IP y los contadores de intentos fallidos caducan por sí solos, normalmente en unos días.
• Registros de facturación — durante el tiempo que exija la legislación fiscal y contable, normalmente varios años.

Las sesiones y el estado de desbloqueo se conservan en un almacenamiento efímero y desaparecen cuando caducan o cuando usted bloquea su bóveda.

Sus derechos

Según el lugar donde resida, usted tiene todos o algunos de los derechos siguientes. Puede ejercer la mayoría por sí mismo desde la configuración de su cuenta, de inmediato y sin pedírnoslo.

• Acceso: obtenga una copia de los datos personales que conservamos sobre usted.
• Portabilidad: exporte su bóveda en cualquier momento en un formato estándar, descifrada en su dispositivo.
• Rectificación: corrija los datos de su cuenta desde su perfil.
• Supresión: elimine su cuenta, lo que borra sus bóvedas y los datos de la cuenta.
• Oposición y limitación: oponerse al tratamiento basado en intereses legítimos.
• Retirar el consentimiento: desactive las funciones opcionales en cualquier momento, sin que ello afecte al tratamiento anterior.
• Reclamar: presente una reclamación ante la autoridad de control de su localidad.

Cómo la protegemos

• Cifrado autenticado AES-256-GCM para los datos de la bóveda, con un vector de inicialización único en cada cifrado.
• Derivación de claves a partir de su contraseña maestra con un número elevado de iteraciones, realizada en su dispositivo.
• TLS para todo lo que viaja por la red, y cifrado en reposo para el texto cifrado almacenado y las copias de seguridad.
• Un modelo de dos puertas: autenticarse le da acceso a su cuenta, desbloquear le da acceso a su bóveda, y la segunda puerta caduca por sí sola.
• Limitación de frecuencia, protección contra repeticiones, bloqueo de IP y un registro de auditoría encadenado por hash que hace detectable cualquier manipulación silenciosa.
• Acceso interno de mínimo privilegio; ningún miembro del personal tiene forma de llegar a sus datos en texto plano.

Ningún sistema es perfecto. Si cree haber encontrado una vulnerabilidad, infórmenos en security@pulsvault.com en lugar de divulgarla públicamente, y trabajaremos con usted en una solución.

Transferencias internacionales

Algunos de nuestros subencargados operan fuera de su país. Cuando los datos personales se transfieren fuera del Espacio Económico Europeo o del Reino Unido, nos basamos en decisiones de adecuación o en Cláusulas Contractuales Tipo junto con medidas técnicas. En la práctica, la más sólida de esas medidas es la que está integrada en el producto: lo que cruza una frontera es texto cifrado.

Menores

PulsVault no está dirigido a menores de 13 años y no recopilamos conscientemente sus datos mediante un registro por cuenta propia. Un organizador familiar puede crear una cuenta de miembro supervisada para un menor bajo su propia responsabilidad, sujeta a los controles del plan Family. Si cree que un menor ha creado una cuenta sin supervisión, contáctenos y la eliminaremos.

Cambios en esta política

Actualizamos esta política cuando cambia el producto o la ley. La fecha que figura en la parte superior de la página refleja siempre la versión vigente. Ante cambios sustanciales (un nuevo subencargado, una nueva categoría de datos, una nueva finalidad), se lo notificamos por correo electrónico o en la consola antes de que el cambio surta efecto, para que tenga tiempo de oponerse o de marcharse.

Contacte con nosotros

Preguntas sobre privacidad, solicitudes de datos y cualquier cosa que desee que le expliquemos en un lenguaje más sencillo: privacy@pulsvault.com. Para cualquier otro asunto, escriba a hello@pulsvault.com. Respondemos a las solicitudes de datos en el plazo de un mes, y le avisamos antes si necesitamos más tiempo.