1. La Versión Corta
Recopilamos los datos mínimos necesarios para facturar y brindar soporte. No solicitamos su nombre completo, dirección, teléfono o identificación gubernamental. Utilizamos una herramienta de análisis autoalojada que no almacena cookies ni identificadores personales. No vendemos, compartimos ni transferimos sus datos a redes publicitarias o socios de marketing. No retenemos datos residentes en el servidor: el contenido de su VPS le pertenece y no lo inspeccionamos.
Esta Sección es un resumen en lenguaje sencillo. Las disposiciones detalladas siguen a continuación.
2. Quiénes Somos
El responsable del tratamiento de datos para esta Política de Privacidad es MurmurHost LLC, una sociedad de responsabilidad limitada organizada bajo las leyes de la República de Seychelles. Puede contactarnos en [email protected] para toda correspondencia relacionada con la privacidad.
Para asuntos regidos por el Reglamento General de Protección de Datos (GDPR) de la UE, cuando no mantenemos un representante en la Unión Europea según el Artículo 27, responderemos a las consultas directamente a través de la misma dirección de correo electrónico.
3. Qué Recopilamos
3.1 Al registrarse
El único dato que requerimos al registrarse es una dirección de correo electrónico válida. La utilizamos para entregar facturas, avisos de servicio y correspondencia de soporte. Opcionalmente, puede proporcionar un nombre para mostrar, nombre de organización, jurisdicción de facturación o identificador de IVA; estos no son obligatorios y se conservan solo si los proporciona.
3.2 Al realizar el pago
Para pagos con criptomonedas, registramos el hash de la transacción y la red de criptomonedas para poder conciliar el pago con su factura. No asociamos su dirección de billetera con su Cuenta más allá de la duración de la liquidación de la factura; una vez que una factura se liquida, la dirección receptora se rota y no se almacena contra el registro del cliente.
Para pagos con tarjeta cuando estén disponibles (actualmente limitados a SKU no offshore), recibimos solo los últimos cuatro dígitos de la tarjeta y una referencia tokenizada del procesador de pagos. No almacenamos números de tarjeta completos. La cobertura completa de métodos de pago y las relaciones con procesadores se documentan en /payment-methods.
3.3 Datos operativos
Retenemos la dirección IP desde la cual se accede más recientemente al panel del cliente durante noventa (90) días, después de lo cual se borra. Retenemos un hash de la semilla de contraseña de un solo uso basada en tiempo (TOTP) si ha habilitado la autenticación de dos factores. Retenemos marcas de tiempo de inicios de sesión exitosos y fallidos durante noventa (90) días con fines de detección de fraude.
3.4 Contenido de soporte y tickets
Cuando abre un ticket de soporte, el contenido de su ticket, incluidos los archivos adjuntos que comparte, se almacena en nuestra infraestructura durante la duración establecida en la Sección 8. El contenido del ticket se trata como confidencial y solo lo acceden el personal de soporte e ingeniería que actúa en el ticket.
3.5 Datos residentes en el servidor
Los datos que almacena dentro de su servidor privado virtual, servidor dedicado, buzón de correo u otro Servicio son operativamente invisibles para nosotros. No inspeccionamos, registramos, escaneamos ni copiamos el contenido de la infraestructura controlada por el cliente como cuestión rutinaria. Cuando se nos requiere actuar sobre datos, por ejemplo, para cumplir con una orden judicial local debidamente notificada, lo hacemos bajo el procedimiento de la Sección 7 y solo en la medida en que estemos legalmente obligados.
4. Qué No Recopilamos
No recopilamos, solicitamos ni retenemos:
- Nombre legal completo, excepto cuando se ingresa voluntariamente para facturación
- Dirección postal, excepto cuando se ingresa voluntariamente para facturación
- Número de teléfono
- Documentos de identificación emitidos por el gobierno
- Datos de seguimiento de comportamiento sobre su navegación en el sitio web más allá de los análisis que respetan la privacidad resumidos en la Sección 5
- Identificadores publicitarios de terceros (no hay Google Ads, Meta Pixel, Twitter pixel ni rastreadores comparables en nuestro sitio de marketing)
- Identificadores entre sitios compartidos con corredores de datos
5. Cookies y Tecnologías Similares
5.1 Cookies de sesión esenciales
Iniciar sesión en el panel del cliente requiere una cookie de sesión. La cookie de sesión es esencial para el funcionamiento del Servicio y está exenta del consentimiento de privacidad electrónica de la UE según el Artículo 5(3) Considerando 25 de la Directiva 2002/58/CE. La cookie es HttpOnly, Secure, SameSite=Lax y caduca cuando cierra sesión o después de catorce (14) días de inactividad, lo que ocurra primero.
5.2 Análisis
Utilizamos Plausible Analytics en una instancia autoalojada bajo nuestro control. Plausible no establece cookies en su navegador, no recopila identificadores personales y no rastrea a los usuarios entre visitas o dominios. Las métricas agregadas que produce (vistas de página, referente, país a nivel de código de país y duración de la visita) se utilizan para evaluar el rendimiento del sitio de marketing y no se asocian con su Cuenta.
5.3 Sin rastreadores de terceros
El sitio de marketing no incluye Google Analytics, Meta Pixel, Hotjar, Mixpanel, Segment ni ninguna tecnología de seguimiento de terceros comparable. El panel del cliente se ejecuta en su propio subdominio y no contiene análisis en absoluto.
6. Cómo Usamos la Información
Usamos la información descrita en la Sección 3 solo para los siguientes fines:
- Prestación del servicio: aprovisionamiento, operación, mantenimiento y soporte de los Servicios
- Facturación: generación, entrega y conciliación de facturas
- Manejo de abusos: investigación de informes, comunicación con clientes afectados y cumplimiento de obligaciones legales
- Avisos de servicio: comunicación sobre el estado del servicio, mantenimiento planificado, actualizaciones de seguridad y cambios materiales en los Términos o esta Política
- Comunicaciones de marketing, solo con aceptación explícita: enviamos correos electrónicos de marketing solo a clientes que han aceptado explícitamente. El estado predeterminado de la Cuenta es no aceptar.
7. Compartir y Divulgación
7.1 Órdenes judiciales
Divulgamos datos a autoridades policiales o judiciales solo al recibir una orden debidamente notificada de un tribunal de jurisdicción competente en uno de los países en los que operamos. No divulgamos voluntariamente datos de clientes a autoridades fuera de nuestras jurisdicciones operativas. Las órdenes judiciales extranjeras no se honran automáticamente; se revisan bajo asesoramiento de abogados locales y se divulgan solo en la medida en que estemos legalmente obligados.
7.2 Solicitudes de Tratado de Asistencia Legal Mutua (MLAT)
Las solicitudes MLAT se procesan caso por caso. Cuando una solicitud se notifica debidamente y está respaldada por una demostración sustancial bajo el tratado relevante, cooperamos en la medida legalmente requerida y no más. Cuando una solicitud no se notifica debidamente o no cumple con el estándar sustancial relevante, la rechazamos.
7.3 Procesadores de terceros
Dependemos de un conjunto limitado de procesadores de terceros necesarios para operar la plataforma:
- Mailgun (o equivalente) para la entrega de correos electrónicos transaccionales, incluida la entrega de facturas, restablecimientos de contraseña y correspondencia de abuso. El procesador recibe solo la dirección de correo electrónico y el contenido del mensaje.
- BTCPay Server, autoalojado en infraestructura que controlamos, para el procesamiento de pagos con criptomonedas. No se utiliza ningún procesador de pagos criptográficos de terceros (como BitPay o Coinbase Commerce) para los Servicios offshore.
- PostgreSQL, alojado en infraestructura que controlamos, para la base de datos de clientes.
- UptimeRobot o equivalente para monitoreo de tiempo de actividad, que recibe solo el nombre de host público y el estado de respuesta HTTP.
7.4 Sin marketing ni publicidad
No compartimos, vendemos, licenciamos ni transferimos de otro modo datos de clientes a redes publicitarias, corredores de datos o socios de marketing. No ejecutamos publicidad en los Servicios y no monetizamos los datos de los clientes.
8. Retención de Datos
8.1 Cuenta activa
Los datos personales asociados con una Cuenta activa se retienen durante la duración de la Cuenta.
8.2 Cuenta cancelada
Después de la cancelación, los datos personales se retienen durante noventa (90) días para permitir la recuperación en caso de cancelación accidental, y luego se borran.
8.3 Registros de facturación
Los registros de facturación (número de factura, monto, moneda, jurisdicción de incorporación si se proporciona e identificador fiscal si se proporciona) se retienen durante siete (7) años para cumplir con las obligaciones de retención de registros fiscales en nuestras jurisdicciones operativas.
8.4 Tickets de soporte
El contenido de los tickets de soporte se retiene durante doce (12) meses desde el cierre del ticket, y luego se borra.
8.5 Registros operativos
No retenemos registros del lado del servidor de la actividad del cliente. Específicamente: no escribimos en almacenamiento persistente ninguno de los siguientes: registros de acceso por cliente, marcas de tiempo de IP para tráfico entrante, registros de historial de comandos, grabaciones de sesiones de consola, códigos de salida de trabajos cron etiquetados con identidad del cliente, registros de consultas DNS.
Los registros agregados de flujo de tráfico en el borde (NetFlow / IPFIX) se mantienen en memoria volátil en el borde durante como máximo una (1) hora para la toma de decisiones activa de mitigación de DDoS, nunca se escriben en almacenamiento persistente y nunca se correlacionan con el cliente.
Los intentos de inicio de sesión en el panel del cliente se rastrean solo en memoria volátil, con el único propósito de limitar la velocidad de relleno de credenciales. Las sesiones exitosas no se registran en disco.
El resultado se refleja en nuestro Informe de Transparencia público (https://murmurhost.com/transparency): cuando llegan solicitudes judiciales de registros de actividad de clientes, los registros producidos son estructuralmente cero porque dichos registros no se recopilan.
9. Transferencias Internacionales
Los datos personales se almacenan en infraestructura en la jurisdicción donde se implementa el Servicio del cliente. El panel del cliente se ejecuta en infraestructura en los Países Bajos, con replicación de base de datos a una única ubicación fuera del sitio en Islandia para fines de recuperación ante desastres.
Para clientes residentes en la UE, esto significa que los datos del panel del cliente cruzan una frontera interna entre los Países Bajos (dentro del EEE) e Islandia (fuera del EEE pero dentro del Espacio Económico Europeo para fines de protección de datos). Islandia está reconocida por la Comisión Europea como que proporciona un nivel adecuado de protección de datos.
10. Sus Derechos
Si usted es un individuo dentro del alcance del GDPR de la UE, el GDPR del Reino Unido, la Ley de Privacidad del Consumidor de California (CCPA) o marcos de privacidad comparables, tiene los derechos establecidos en la regulación aplicable. Los derechos más comúnmente ejercidos son:
10.1 Derecho de acceso
Puede solicitar una copia de los datos personales que tenemos sobre usted. Respondemos dentro de treinta (30) días.
10.2 Derecho de rectificación
Puede corregir datos personales inexactos que tenemos sobre usted. La mayoría de los campos se pueden editar directamente en el panel del cliente; para los campos que no se pueden, contacte a [email protected].
10.3 Derecho al borrado ("derecho al olvido")
Puede solicitar el borrado de los datos personales que tenemos sobre usted. Los borraremos a menos que tengamos una obligación legal de retenerlos (notablemente la retención de registros de facturación de siete años en la Sección 8.3, en cuyo caso los datos personales fuera de ese alcance se borran y el registro de facturación se anonimiza en la medida de lo posible).
10.4 Derecho a la portabilidad de datos
Puede solicitar una exportación legible por máquina de los datos personales que tenemos sobre usted. La exportación se entrega como JSON, cifrada con una frase de contraseña que usted proporciona.
10.5 Derecho a la restricción y oposición
Puede solicitar que restrinjamos el procesamiento de sus datos personales mientras se investiga una queja o solicitud de corrección, y puede oponerse al procesamiento basado en motivos de interés legítimo. La exclusión de comunicaciones de marketing se honra inmediatamente a solicitud.
11. Cómo Ejercer Sus Derechos
Para ejercer cualquier derecho descrito en la Sección 10, envíe un correo electrónico a [email protected]. Respondemos dentro de treinta (30) días. Si anticipamos que necesitaremos tiempo adicional (notablemente para solicitudes de borrado complejas donde debemos verificar el alcance de la retención legal), le notificaremos dentro de los treinta (30) días iniciales y completaremos la respuesta dentro de un máximo de sesenta (60) días adicionales.
No cobramos una tarifa por solicitudes rutinarias. Cuando las solicitudes son manifiestamente infundadas, excesivas o repetidas, podemos cobrar una tarifa razonable o negarnos a actuar, según lo permitido por el Artículo 12(5) del GDPR.
12. Medidas de Seguridad
12.1 Cifrado en reposo
Los datos del panel del cliente, incluidos los registros de facturación y el contenido de los tickets de soporte, se almacenan con cifrado a nivel de disco utilizando LUKS/dm-crypt con AES-XTS-256.
12.2 Cifrado en tránsito
Todas las conexiones entre el navegador del cliente, el panel del cliente y nuestros servicios internos utilizan TLS 1.3 o, cuando TLS 1.3 no está disponible en el cliente, TLS 1.2 con conjuntos de cifrado fuertes y secreto hacia adelante. No admitimos TLS 1.0 ni TLS 1.1.
12.3 Controles de acceso
El acceso interno a los datos del cliente se limita al personal de soporte e ingeniería que actúa en un ticket o incidente específico. La autenticación de dos factores es obligatoria para todo el personal que accede a la interfaz de administración del panel del cliente.
12.4 Registros de auditoría
El acceso interno a los datos del cliente se registra con suficiente detalle para reconstruir quién accedió a qué y cuándo. Los registros de auditoría se retienen durante noventa (90) días.
13. Privacidad de los Menores
Nuestros Servicios no están destinados a personas menores de dieciséis (16) años. No recopilamos a sabiendas datos personales de menores por debajo de este umbral. Si descubrimos que hemos recopilado datos personales de un menor por debajo del umbral, los borramos de inmediato y reembolsamos cualquier pago recibido. Los padres o tutores que crean que su hijo menor nos ha proporcionado datos personales deben contactar a [email protected].
14. Cambios a Esta Política
Podemos actualizar esta Política de Privacidad periódicamente. Los cambios materiales (aquellos que afectan las categorías de datos que recopilamos, los fines para los cuales usamos los datos o los terceros con los que compartimos datos) se notifican a través del correo electrónico de facturación y se anuncian a través de un banner en el panel del cliente durante treinta (30) días antes de que entren en vigencia. Los cambios no materiales (aclaraciones, formato, corrección de enlaces rotos) pueden realizarse sin aviso previo; la fecha de "Última actualización" en la parte superior de este documento refleja el cambio más reciente.
15. Contacto
Para preguntas, solicitudes o quejas relacionadas con la privacidad:
- Equipo de privacidad: [email protected]
- Equipo legal: [email protected]
- Dirección postal: MurmurHost LLC, República de Seychelles (dirección completa proporcionada por solicitud escrita)
Si cree que no hemos cumplido con la ley de privacidad aplicable, tiene derecho a presentar una queja ante la autoridad de supervisión en su jurisdicción. Para residentes de la UE, esta es la autoridad de protección de datos de su Estado miembro; para residentes del Reino Unido, la Oficina del Comisionado de Información; para residentes de California, la Agencia de Protección de Privacidad de California.