Privacidad
Qué almacenamos, y durante cuánto tiempo
Este aviso describe el producto tal como está escrito hoy. Donde un proveedor o una regla de retención sigue planificada, lo dice. Última actualización 2026-09-17.
Aún por nombrar
Nombre social, domicilio y NIF del responsable del tratamiento según el RGPD. Hasta que esté registrada, las solicitudes de protección de datos van a privacy@audixa.es y las tramitan las personas que construyen el producto.
Quiénes somos
Responsable
Audixa es el producto. La entidad jurídica que actuará como responsable según el RGPD aún no está constituida, así que no se nombra aquí. Inventar una sería peor que dejar el hueco: un nombre detrás del que no podemos responder no es un nombre.
El producto está pensado para personas en la Unión Europea. Los datos de la aplicación vivirán en un único servidor de Hetzner en Unión Europea, con PostgreSQL en esa misma máquina — no en un host de base de datos aparte, y no en una segunda nube para workers. Hostinger tiene el DNS y el hosting de marketing (Unión Europea). Esos nombres salen de la misma lista que los encargados de abajo, así que un cambio de hosting es una sola edición. Ninguno de ellos trata aún datos de clientes de pago. No hemos provisionado ese servidor.
Revisión de un abogado de ambas páginas antes de cobrar a clientes o tramitar una solicitud de derechos en serio.
Qué recogemos
Los datos, y por qué
Una cuenta
Tu nombre, correo y el hash de la contraseña, para que puedas entrar. No necesitamos un teléfono, un número de empresa ni una fecha de nacimiento para lanzar un análisis, así que no los pedimos.
Una organización
El nombre que das a un espacio de trabajo, quién está dentro y qué puede hacer cada uno. La pertenencia es la unidad de acceso: no la inferimos de un dominio de correo.
Un análisis
Un repositorio conectado se clona en un sandbox desechable durante el trabajo. El entorno se destruye al terminar el análisis. Lo que conservamos son los hallazgos, hasta tres líneas de evidencia ofuscada alrededor de cada coincidencia, y los metadatos necesarios para comparar un análisis con el siguiente. El código fuente no se retiene. Los secretos detectados se ofuscan antes de almacenar nada.
Una consulta de servicios profesionales
Los campos del formulario: nombre, correo, teléfono, empresa y URL opcionales, la descripción que escribiste, las respuestas del briefing web cuando pediste un sitio, el plazo opcional, y la frase exacta de consentimiento que aceptaste, con marca de tiempo. Lo guardamos para responder a la consulta y para poder mostrar a un regulador qué se acordó, no para enviarte marketing después.
Registros técnicos
Metadatos de petición (IP, user agent, URL) durante una ventana corta, para diagnosticar incidentes y limitar abusos. Los valores con forma de credencial se eliminan antes de llegar a un log.
No vendemos datos personales. No compramos listas. No ejecutamos píxeles publicitarios, y no usamos cookies para nada que no sea mantenerte conectado.
Cuánto tiempo
Retención
- El código fuente de tu repositorio
- No se retieneEl entorno del sandbox se destruye al terminar el análisis, tanto si tuvo éxito como si falló. Lo que sobrevive son los hallazgos y hasta tres líneas de evidencia ofuscada alrededor de cada coincidencia.
- Hallazgos e historial de análisis
- Mientras la cuenta esté abiertaComparar un análisis con el anterior es el sentido del producto, así que el historial tiene que persistir. Borrar un proyecto borra sus hallazgos.
- Consultas de servicios enviadas desde este sitio
- 24 meses desde el último contactoEl tiempo suficiente para una conversación comercial y honrar un presupuesto; lo bastante corto para que un formulario rellenado una vez no te persiga. Pídenoslo y lo borramos antes.
- Registro de auditoría
- 24 mesesRegistra quién cambió accesos y ajustes. Un rastro de auditoría que se pueda acortar a petición no sería uno.
- Registros de cuenta y organización
- Hasta que los borresBorrar la organización elimina sus proyectos, hallazgos e informes.
Quién más puede verlo
Encargados
Ningún encargado externo trata hoy datos de clientes de pago. El desarrollo local usa una base de datos en la máquina que ejecuta la app. Los proveedores de abajo son los que usaremos en producción, nombrados ahora para que un cambio posterior sea visible y no una sorpresa.
Elegidos, aún no integrados
HetznerUnión Europea
Un único servidor en la Unión Europea que ejecuta la aplicación y PostgreSQL en la misma máquina. Cuando el análisis se publique, los workers y sandboxes correrán ahí también — no en una segunda nube. Tu nombre y correo, tu organización, tus proyectos, hallazgos y consultas de servicios. El contenido del repositorio solo durante un análisis, en un entorno desechable.
HostingerUnión Europea
DNS de los dominios del producto, y hosting de las páginas de marketing que no son la aplicación. Consultas DNS y metadatos de petición de las páginas de marketing. No tu cuenta, repositorios ni hallazgos.
ResendUnión EuropeaProveedor sin firmar
Correo transaccional: invitaciones, restablecimiento de contraseña, avisos de análisis y confirmaciones de consulta. Tu dirección de correo y el contenido del mensaje que te enviamos.
StripeUnión Europea y Estados Unidos
Pagos de suscripción y cálculo de IVA (Stripe Tax) para los planes de pago. Datos de facturación, que das a Stripe directamente. Guardamos una referencia de cliente, nunca un número de tarjeta.
OSV.devEstados Unidos
Consultar avisos publicados para los paquetes de los que depende tu proyecto. Una lista de nombres y versiones de paquetes. Nunca tu código fuente, y nada que te identifique.
OpenAIProcesamiento en la Unión Europea, sin retención de datosProveedor sin firmar
Reescribir la evidencia del analizador en lenguaje claro, cuando la asistencia de IA está activa. Fragmentos ofuscados de código de aplicación a los que apunta un hallazgo. Nunca el repositorio entero, y nunca .env, PEM u otros archivos de secretos — esos se escanean solo en este servidor.
Proveedor de IA definitivo. El valor de trabajo en SUBPROCESSORS es OpenAI; no está firmado. Los proveedores sin firmar se marcan en la lista para que no se oculten como si estuvieran contratados.
Tus derechos
Qué puedes pedirnos
Puedes pedir una copia de lo que tenemos, una corrección, la supresión, la limitación, o oponerte a un tratamiento que no sea necesario para el servicio que pediste. También puedes pedirnos que enviemos una copia estructurada de tu cuenta y tus hallazgos a otro responsable. Escribe a privacy@audixa.es.
Borrar una organización borra sus proyectos, hallazgos e informes. Borrar una consulta de servicios borra el hilo, incluidas las notas internas. Las filas del registro de auditoría que documentan un cambio de acceso se conservan durante el periodo de arriba incluso después de que la cuenta desaparezca, porque un rastro de auditoría que se pueda acortar a petición no sería uno; ya no contienen un correo en vivo.
Puedes reclamar ante tu autoridad nacional de protección de datos. Cuál depende de dónde vivas y del país en el que esté constituida la sociedad — que aún no está nombrado.
Cookies: las únicas que ponemos son las que mantienen una sesión iniciada. No hay cookie de marketing, así que no hay banner de cookies ni una página de cookies aparte.