Aviso de Privacidad

01Alcance y responsable

Este Aviso de Privacidad explica cómo Ekos Cyber Labs, LLC, una sociedad de responsabilidad limitada constituida conforme a las leyes del Estado de Delaware, Estados Unidos, en su carácter de operador y responsable de la plataforma Veylum (el «Servicio»), recaba, utiliza, comparte y protege datos personales en relación con el Servicio, incluidos los datos de los visitantes de este sitio web, de las personas que se inscriben en la lista de espera, de las personas físicas que presentan una solicitud de registro, de los usuarios registrados del panel y, de manera incidental, de las personas físicas cuya información aparece en los datos públicos OSINT que el Servicio trata respecto de dominios sospechosos de suplantar la marca de un cliente.

Se aplica a este sitio web público y a su lista de espera, al sitio de registro, al panel autenticado, a la API REST y a la superficie de integración MCP. Cuando Ekos Cyber Labs trate datos personales por cuenta de un cliente al amparo de un acuerdo de tratamiento de datos celebrado por separado, dicho acuerdo prevalecerá sobre este Aviso de Privacidad en la medida de cualquier contradicción.

02Categorías de datos personales que recabamos

• (a) Datos de la lista de espera: la dirección de correo electrónico de trabajo que usted deja en este sitio web, el idioma en el que navegaba, el botón que utilizó, el país derivado de su dirección de red, y la fecha y hora.
• (b) Datos de cuenta y de registro: nombre completo, dirección de correo electrónico de trabajo, nombre de la empresa, datos de contacto pertinentes para el puesto, la marca y el dominio cuyo monitoreo solicita, las confirmaciones que otorga al registrarse (aceptación de estos documentos, autorización respecto de la marca y, en su caso, la explicación de una falta de coincidencia del dominio), la dirección de red y la hora de la solicitud, y cualquier mensaje que proporcione voluntariamente.
• (c) Datos de usuarios autenticados: sus credenciales de acceso (almacenadas como un hash bcrypt con sal, nunca en texto plano), su rol y el alcance de marcas que tiene dentro de la cuenta de su organización, su preferencia de zona horaria y la actividad de sus sesiones.
• (d) Datos de facturación: cuando un plan de pago está activo, el contacto de facturación, las facturas y el estado de pago. Los datos de tarjeta o bancarios los recaba y almacena nuestro procesador de pagos, no nosotros.
• (e) Datos de uso y de seguridad: registros de actividad, la dirección IP de origen de las solicitudes, marcas de tiempo y metadatos técnicos utilizados para detectar abusos (por ejemplo, la limitación de frecuencia en los formularios públicos y en los intentos de inicio de sesión).
• (f) Registros de solicitudes de baja (takedown): el texto de cada solicitud que confirma un usuario de su cuenta, el destinatario, la evidencia adjunta, la identidad del usuario que confirma (cuenta de usuario y correo electrónico), la hora y la dirección de red de la confirmación, el texto de aceptación que confirmó, y las respuestas recibidas. Se conserva el mismo registro cuando un usuario de su cuenta presenta una solicitud de baja mediante el formulario web de un tercero.
• (g) Datos OSINT sobre dominios monitoreados y terceros: registros DNS públicamente disponibles, respuestas RDAP/WHOIS, datos de certificados TLS, resultados de búsquedas públicas, y capturas de pantalla y contenido capturado de páginas web sospechosas de suplantar una marca monitoreada. Minimizamos deliberadamente esta categoría: no almacenamos más datos personales de titulares de registros de dominio ni de terceros de los estrictamente necesarios para el análisis de protección de marca, y no recabamos a sabiendas datos personales sensibles (como datos de salud, biométricos o de ubicación precisa) de ninguna persona física. Cuando una página capturada contenga incidentalmente dichos datos, no los indexamos, buscamos ni utilizamos, y se eliminan junto con la captura conforme a la Sección 10.
• (h) Comunicaciones: cualquier mensaje que usted nos envíe a través de un canal de soporte, incluidos su contenido y sus metadatos.

03Fuentes de los datos

Recabamos datos directamente de usted (lista de espera, registro y uso de la cuenta), de forma automática mediante su uso del Servicio (registros de actividad y de seguridad), y de fuentes públicas de terceros como parte de la función esencial de protección de marca del Servicio (registros de dominios y registradores (registrars), registros de Certificate Transparency, fuentes de dominios recién registrados, motores de búsqueda públicos y el contenido públicamente accesible de los sitios sospechosos).

04Cómo utilizamos los datos personales

Utilizamos los datos personales para:

• (a) prestar, operar, proteger y mejorar el Servicio, lo que incluye generar hallazgos, emitir dictámenes asistidos por IA y enviar las alertas y los reportes que usted configure;
• (b) crear y administrar su cuenta, incluidos la autenticación, el control de acceso basado en roles y la facturación;
• (c) evaluar y dar seguimiento a las inscripciones en la lista de espera y a las solicitudes de registro, lo que incluye avisarle cuando se abra el acceso;
• (d) comunicarnos con usted respecto de su cuenta, sus hallazgos o sus solicitudes;
• (e) transmitir las solicitudes de baja que usted confirme y conservar el registro de ellas (Sección 10);
• (f) detectar, investigar y prevenir fraudes, abusos o accesos no autorizados al Servicio; y
• (g) cumplir obligaciones legales, lo que incluye atender requerimientos legítimos de las autoridades.

No utilizamos datos personales con fines publicitarios, no elaboramos comparativas ni perfiles entre clientes, y no enviamos comunicaciones de mercadotecnia distintas del aviso de la lista de espera descrito en el inciso (c), salvo que usted lo consienta por separado.

05Bases jurídicas del tratamiento

Cuando la ley que le resulte aplicable exija una base jurídica, nos apoyamos en: la ejecución de un contrato, para operar la cuenta y el plan que usted contrató; nuestro interés legítimo en operar un servicio seguro de protección de marca, prevenir fraudes y abusos, y establecer o defender reclamaciones legales derivadas de las solicitudes enviadas a través del Servicio, siempre que sobre dicho interés no prevalezcan sus derechos fundamentales; el cumplimiento de una obligación legal; y su consentimiento, para la analítica del sitio web y para cualquier comunicación de mercadotecnia distinta del aviso de la lista de espera, el cual usted puede revocar en cualquier momento.

06Tratamiento asistido por IA

El Servicio utiliza un proveedor de modelos de lenguaje de gran escala para ayudar a clasificar ciertos hallazgos (dominios de severidad media o alta) y para perfilar la presencia pública propia de una marca. Este tratamiento automatizado evalúa características de un dominio o de una página, y no características personales de un usuario individual, para generar una clasificación de amenaza y una narrativa.

Cuando el contenido de una página o una captura de pantalla de un sitio sospechoso de suplantación se somete a análisis de IA, dicho contenido puede contener de manera incidental datos personales de terceros ajenos que aparecen en esa página pública (por ejemplo, nombres en un sitio de phishing que copia el directorio público de personal de un banco); tratamos dicho contenido incidental únicamente para evaluar el riesgo de suplantación de marca y no lo utilizamos para ningún otro fin.

07Cookies, No Rastrear (Do Not Track) y Control Global de Privacidad (Global Privacy Control)

En el Servicio autenticado utilizamos únicamente cookies estrictamente necesarias: una cookie de autenticación de sesión y una cookie de protección contra CSRF, indispensables para que el panel y los formularios públicos funcionen de forma segura. Ahí no utilizamos cookies de rastreo, de publicidad ni de analítica, y no utilizamos cookies para elaborar perfiles de los usuarios entre distintos sitios.

En este sitio web público no se carga ninguna tecnología de publicidad, y Google Analytics sólo se carga si usted lo acepta expresamente en el aviso de consentimiento. Si lo acepta, cargamos Google Analytics para medir el tráfico agregado del sitio, configurado sin funciones publicitarias; si lo rechaza, o mientras no elija, no se carga y no se crea ningún identificador de Google Analytics. Su preferencia de idioma y su respuesta al aviso de consentimiento se guardan en el almacenamiento local del navegador, en su propio dispositivo; nunca se nos transmiten, y al borrar los datos de su navegador se eliminan.

Servicios de Cloudflare que funcionan en cada visita. Como este sitio web se entrega y se protege a través de Cloudflare, dos servicios de Cloudflare funcionan en todas las páginas con independencia del aviso de consentimiento, como parte de la operación y la seguridad del sitio: (a) Cloudflare Web Analytics, que cuenta las páginas vistas y mide el rendimiento de carga de forma agregada, sin cookies, sin almacenamiento local y sin ningún identificador que lo reconozca entre visitas o entre sitios; y (b) una verificación de detección de bots (Cloudflare JavaScript Detections), que ejecuta un breve script en su navegador para distinguir a las personas del tráfico automatizado y guarda su resultado en una cookie de seguridad (cf_clearance). Ninguno de los dos se utiliza para publicidad ni para elaborar un perfil sobre usted.

No Rastrear y Control Global de Privacidad. Si su navegador envía una señal de No Rastrear (Do Not Track, DNT) o de Control Global de Privacidad (Global Privacy Control, GPC), este sitio web la trata como un rechazo: no se muestra el aviso de consentimiento y no se carga Google Analytics, con independencia de cualquier elección previa. Los servicios de Cloudflare descritos arriba siguen funcionando, porque forman parte de la operación y la seguridad del sitio y no se utilizan para rastrear su actividad. No permitimos que terceros recaben, a través de este sitio, información personal sobre sus actividades en línea a lo largo del tiempo y en distintos sitios web.

No vendemos ni compartimos (sell/share) información personal para publicidad conductual entre contextos (cross-context behavioral advertising), y no utilizamos cookies ni tecnologías similares con ese fin en ninguna superficie del Servicio.

08Cómo compartimos los datos

Compartimos datos personales únicamente con proveedores de servicios que los tratan por nuestra cuenta para operar el Servicio, cada uno sujeto a obligaciones contractuales de confidencialidad y de limitación de uso, y únicamente los datos que cada uno necesita:

• Alojamiento (hosting) en la nube y base de datos administrada del Servicio (todos los datos de cuenta en reposo, en Estados Unidos), y servicios de red perimetral y de seguridad (Cloudflare: metadatos de las solicitudes y direcciones IP de origen de este sitio web, del Servicio y del almacén de la lista de espera).
• Correo electrónico transaccional (Postmark): verificación y aprobación del registro, activación de la cuenta, restablecimiento de contraseñas, avisos de reporte listo y de la cuenta, y la alerta interna de que se recibió una nueva inscripción en la lista de espera. Postmark recibe la dirección del destinatario y el contenido del mensaje, y conserva registros de entrega durante un periodo limitado.
• Proveedor del buzón de casos: las solicitudes de baja que usted confirma se transmiten a través de un buzón empresarial dedicado, operado por un proveedor de correo electrónico tercero, en el que también se reciben las respuestas a ellas; dicho proveedor recibe la dirección del destinatario, el contenido de la solicitud y la evidencia adjunta.
• Proveedor de inferencia de modelos de lenguaje de gran escala (nan.builders) para los dictámenes de Ekos AI y el perfilado de marcas: evidencia de los hallazgos, contenido capturado de páginas y capturas de pantalla de sitios sospechosos.
• Proveedor de captura de contenido web y de capturas de pantalla (Firecrawl), utilizado como alternativa para renderizar sitios sospechosos: únicamente la URL objetivo.
• Proveedor de búsqueda (Brave Search API) para el descubrimiento, mediante consultas, de contenido que suplanta marcas: únicamente el término de búsqueda, el nombre de la marca o el dominio.
• Procesador de pagos (Stripe), cuando un plan de pago está activo: el contacto de facturación y los datos de pago, que recaba directamente.
• Proveedor de correo electrónico empresarial para nuestros buzones de soporte, privacidad y asuntos legales: el contenido de la correspondencia que usted nos envíe.
• Google Analytics, únicamente en este sitio web público y solo con su consentimiento: datos agregados de uso del sitio web.

El Servicio también consulta fuentes de datos públicas (registros de dominios y registradores (RDAP/WHOIS), registros e índices de Certificate Transparency, fuentes de dominios recién registrados, consultas de DNS y de enrutamiento, y archivos web) para investigar dominios sospechosos. Estas fuentes reciben únicamente el dominio, el nombre o el término de búsqueda consultado, nunca los datos de su cuenta, y no son nuestros encargados.

No vendemos datos personales ni los compartimos con terceros para fines de mercadotecnia propios e independientes de estos. Podemos revelar datos personales cuando la ley lo exija, para proteger los derechos, los bienes o la seguridad de Veylum, de nuestros clientes o del público, o en relación con una fusión, adquisición o venta de activos (sujeto a que continúen protegidos conforme a un aviso equivalente).

09Transferencias internacionales de datos

Ekos Cyber Labs está constituida en Estados Unidos, donde se encuentra la infraestructura de producción del Servicio; nuestro equipo opera desde México, y algunos proveedores y fuentes de datos operan en la Unión Europea y en otros países. Por ello, los datos personales pueden tratarse en Estados Unidos, México, la Unión Europea y otros países en los que operan nuestros proveedores. Cuando realizamos transferencias internacionales de datos personales, aplicamos salvaguardas contractuales y técnicas razonables, diseñadas para protegerlos de manera congruente con este Aviso de Privacidad y con la legislación aplicable (incluidas, cuando se requiera, cláusulas contractuales tipo o un mecanismo de transferencia equivalente), con independencia del lugar en que se traten.

10Conservación de los datos

Conservamos los datos personales únicamente durante el tiempo que exija la finalidad para la que se recabaron, más cualquier plazo necesario para cumplir obligaciones legales, fiscales o contractuales, o para establecer o defender reclamaciones legales. Los plazos siguientes son los que aplica el Servicio; prevalece cualquier plazo más breve que se haya pactado por escrito con un cliente.

11Eliminación de la cuenta

Un administrador de marca puede eliminar la cuenta desde la página de perfil tras volver a autenticarse. La eliminación comienza de inmediato, concluye en segundo plano y es irreversible. Borra de forma permanente las marcas, los hallazgos, los dictámenes, las capturas de pantalla, el contenido capturado de páginas, los reportes, el historial de escaneos, y las cuentas de usuario y llaves de integración que pertenecen a la cuenta. Usted recibe un correo electrónico que confirma la eliminación y la fecha en que se borrarán los registros de solicitudes de baja conservados.

Tres categorías subsisten a la eliminación, durante los plazos de la Sección 10: los registros de solicitudes de baja, incluida la identidad del usuario que confirmó cada una, conservados en estado de bloqueo durante 36 meses únicamente para establecer o defender responsabilidades derivadas de las solicitudes enviadas en su nombre; las entradas del registro de auditoría, incluida la que registra la propia eliminación, desvinculadas de la cuenta; y la solicitud de registro original. Todo lo demás desaparece.

12Seguridad de los datos

Aplicamos medidas técnicas y organizativas diseñadas para proteger los datos personales, entre ellas: cifrado en tránsito (TLS) en todas las conexiones; cifrado en reposo de las credenciales de terceros y de los secretos de integración; hash de contraseñas con bcrypt; control de acceso basado en roles, aplicado en cada ruta del panel y de la API y limitado a las marcas que un usuario puede ver; protección contra CSRF en las solicitudes que modifican el estado; autenticación basada en sesiones, con revocación de todas las sesiones al cambiar la contraseña; limitación de frecuencia en los formularios públicos y en el inicio de sesión; protecciones a nivel de red contra la falsificación de solicitudes del lado del servidor (server-side request forgery) cuando el Servicio obtiene contenido de terceros; análisis estático y escaneo de dependencias y de contenedores en el proceso de compilación; y registro de auditoría de las acciones relevantes para la seguridad.

Ningún sistema es completamente seguro. Si tenemos conocimiento de un incidente de seguridad que afecte sus datos personales, se lo notificaremos a usted y, cuando la ley lo exija, a la autoridad competente, sin demora indebida y de conformidad con la legislación aplicable.

13Sus derechos de privacidad — Estados Unidos

En la medida en que la Ley de Privacidad del Consumidor de California, reformada por la Ley de Derechos de Privacidad de California (California Consumer Privacy Act / California Privacy Rights Act, CCPA/CPRA), resulte aplicable a Ekos Cyber Labs, los residentes de California tienen derecho a conocer qué información personal hemos recabado sobre ellos, a solicitar su eliminación, a solicitar la corrección de información personal inexacta y a optar por no participar en la «venta» («sale») o el «intercambio» («sharing») de información personal. Veylum no vende información personal ni la comparte para publicidad conductual entre contextos, por lo que no existe venta ni intercambio respecto de los cuales optar por no participar; respetamos las señales de Control Global de Privacidad conforme a lo descrito en la Sección 7. No lo discriminamos por ejercer ningún derecho de privacidad. Las categorías de información personal que recabamos, sus fuentes, las finalidades de su obtención y las categorías de destinatarios son las descritas en las Secciones 2, 3, 4 y 8.

Los residentes de otros estados de Estados Unidos que cuenten con leyes de privacidad del consumidor comparables gozan de los derechos equivalentes reconocidos en dichas leyes, en la medida en que nos resulten aplicables, y pueden ejercerlos a través del mismo canal de contacto.

14Sus derechos de privacidad — México y América Latina

Cuando el Servicio sea utilizado por organizaciones establecidas en México o en otro país de América Latina, y en la medida en que la ley de protección de datos de ese país resulte aplicable a nuestro tratamiento, usted goza de los derechos que dicha ley reconoce (en México, los derechos de acceso, rectificación, cancelación y oposición (derechos ARCO) y el derecho a revocar el consentimiento conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares; en Brasil, Colombia, Argentina y otros países, los derechos equivalentes conforme a sus leyes), así como del derecho a presentar una queja ante la autoridad competente. Cuando usted ejerce el derecho de cancelación (incluso mediante la eliminación de su cuenta), los registros de solicitudes de baja descritos en la Sección 10 entran en un periodo de bloqueo durante el cual se conservan únicamente para establecer o defender responsabilidades derivadas de las solicitudes enviadas en su nombre, y posteriormente se suprimen.

15Sus derechos de privacidad — Otras jurisdicciones

Si usted reside en una jurisdicción no contemplada específicamente en las secciones anteriores, incluidos el Espacio Económico Europeo o el Reino Unido, puede gozar igualmente de derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición conforme a su legislación local (por ejemplo, el RGPD (GDPR) o el RGPD del Reino Unido (UK GDPR), cuando resulten aplicables a nuestro tratamiento). Atenderemos las solicitudes que estemos legalmente obligados a atender y, en los demás casos, responderemos con base en esfuerzos razonables a cualquier solicitud de privacidad presentada conforme a la Sección 16.

16Cómo ejercer sus derechos

Usted puede ejercer cualquiera de los derechos descritos en las secciones anteriores escribiendo a privacy@veylum.ai, o a través del canal de soporte o de contacto de la cuenta proporcionado al configurarse su cuenta. Indíquenos qué derecho ejerce y, en su caso, a qué datos se refiere. Es posible que necesitemos verificar su identidad antes de atender una solicitud, y podemos negarla en la medida en que lo permita la legislación aplicable (por ejemplo, cuando revelaría datos personales de otra persona física o cuando los datos se conservan para establecer o defender una reclamación legal). Respondemos dentro del plazo que exija la ley que le resulte aplicable y, a falta de un requisito específico, dentro de 30 días; cuando una solicitud se refiera a datos que tratamos por cuenta de un cliente, la remitiremos a dicho cliente.

17Privacidad de menores de edad

El Servicio es una plataforma entre empresas (business-to-business) destinada a ser utilizada por personas adultas que actúan en nombre de una organización. No está dirigido a menores de edad (según se definan en la legislación aplicable, por lo general personas menores de 18 años, o menores de 13 años para efectos de la Ley de Protección de la Privacidad en Línea de los Niños de Estados Unidos (Children's Online Privacy Protection Act)), y no recabamos a sabiendas datos personales de ellos. Si tenemos conocimiento de que hemos recabado inadvertidamente datos personales de un menor de edad, los eliminaremos.

18Cambios a este Aviso de Privacidad

Podemos actualizar este Aviso de Privacidad para reflejar cambios en el Servicio o en la legislación aplicable. Publicaremos el Aviso de Privacidad actualizado con una nueva fecha de «Última actualización» y, tratándose de cambios sustanciales, daremos un aviso previo razonable por correo electrónico o mediante un aviso dentro del producto antes de que surtan efectos.

19Contacto

Para cualquier pregunta sobre este Aviso de Privacidad o para ejercer un derecho de privacidad, escriba a privacy@veylum.ai, o utilice el canal de soporte o de contacto de la cuenta proporcionado al configurarse su cuenta. La correspondencia en materia de privacidad también puede enviarse por correo postal a Ekos Cyber Labs, LLC, 2810 N Church St STE 90685, Wilmington, DE 19802, Estados Unidos.