Privacidad y tratamiento de datos

Atalaya es privacy-first por diseño: cada salida de datos fuera de tu organización es una decisión EXPLÍCITA del operador, nunca un comportamiento por defecto. Esta página resume exactamente qué se procesa, dónde y cuándo.

Qué se procesa y dónde

Dato / operación	Dónde se procesa	¿Sale de tu organización?
Parseo del email, reglas heurísticas, scoring, decodificación de QR, informes	Local (servidor de Atalaya)	No
IOCs: URLs, dominios, IPs públicas, hashes SHA256	Feeds externos de threat intelligence	Solo si activas «Enriquecer»
Cabeceras + cuerpo del email (truncado) + contexto de tu organización	Modelo de IA (LLM)	Solo si activas «IA»
Seguimiento de un enlace (petición HTTP al destino)	Servidor de destino del enlace	Sí — se contacta el destino, con guarda anti-SSRF
Perfil de organización (dominios, personas clave, proveedores, reglas)	Almacén del backend	No se comparte; se usa solo para tus análisis
Cuerpo del email vía enriquecimiento	—	NUNCA por esta vía

Retención

Histórico de análisis: 30 días por usuario (lo puedes consultar y caduca solo).
Caché de resultados: 10 minutos (acelera reanálisis idénticos y ahorra cuota).
Contadores de uso: por día, se reinician a las 00:00 UTC.
Perfil de organización: persiste hasta que tú lo borras desde tu cuenta.
Archivos subidos: se procesan en memoria y no se almacenan tras el análisis.

Lo que NUNCA hacemos

Vender ni ceder tus datos a terceros con fines publicitarios.
Entrenar modelos de IA con tu contenido.
Enviar el cuerpo de tus emails a ningún servicio sin que actives «IA» en ese análisis.
Aplicar enriquecimiento externo o IA por defecto: ambos son opt-in por análisis.

Subprocesadores (por categoría)

Atalaya se apoya en proveedores externos para hosting, almacenamiento y enriquecimiento. La lista nominal completa está disponible bajo petición y en el acuerdo de tratamiento de datos (DPA).

Hosting / cómputo	Proveedor cloud (región EU) que ejecuta la aplicación.
Almacén key-value	Cuota, caché e histórico (sin contenido de tus emails).
Feeds de threat intelligence	Reputación de URLs/dominios/IPs/hashes — solo reciben IOCs.
Proveedor de modelo de IA (LLM)	Veredicto asistido — solo cuando activas «IA».

Modo on-premise / aislado

Para entornos regulados (ENS, sector público, banca) Atalaya puede desplegarse on-premise. El análisis local (parseo, reglas, scoring, QR) funciona SIN ningún servicio externo: enriquecimiento e IA quedan simplemente desactivados. Disponible vía contenedor Docker.

Contacto

Para el DPA, la lista nominal de subprocesadores o cualquier consulta de privacidad: contact@alexfernandezlab.com