Política de Privacidad

En Integrasec tratamos con la máxima seriedad la información que nos confía. Nuestro servicio analiza correos electrónicos que los usuarios nos remiten de forma voluntaria porque sospechan que pueden ser un intento de fraude o de phishing. Eso significa que, por la propia naturaleza del servicio, tratamos el contenido de comunicaciones electrónicas. Somos plenamente conscientes de lo sensible que es ese dato y esta política explica, sin rodeos y con detalle, qué hacemos con él, por qué, durante cuánto tiempo y con quién lo compartimos.

1. Responsable del tratamiento

2. Alcance de esta política

Esta política se aplica a:

• El complemento (add-on) de Integrasec para Gmail y Google Workspace, incluido el botón de reporte de correos sospechosos.
• El complemento de Integrasec para Microsoft Outlook y Microsoft 365.
• El panel web de Integrasec disponible en eu.integrasec.net y sus subdominios.
• Las comunicaciones automáticas de resultado de análisis que enviamos por correo electrónico.

No se aplica a los sitios web, aplicaciones o servicios de terceros a los que se pueda acceder desde nuestros informes o comunicaciones, que se rigen por sus propias políticas.

3. Nuestro doble papel: responsable y encargado del tratamiento

Esta distinción es importante porque determina a quién debe dirigirse cada persona para ejercer sus derechos.

3.1. Cuando actuamos como encargado del tratamiento

Cuando una empresa u organización contrata Integrasec para sus empleados, esa organización es la responsable del tratamiento y nosotros actuamos como encargado del tratamiento por cuenta de ella, conforme al artículo 28 del Reglamento (UE) 2016/679 («RGPD»). En ese escenario:

• La organización cliente decide qué usuarios utilizan el servicio, con qué finalidad y durante cuánto tiempo se conservan los datos.
• La organización cliente es responsable de informar a sus empleados de que utiliza Integrasec y de disponer de una base jurídica válida para ello.
• Nosotros tratamos los datos únicamente siguiendo sus instrucciones documentadas, recogidas en el contrato de encargo del tratamiento suscrito con ella.
• Si usted es empleado de una organización cliente y desea ejercer sus derechos, diríjase en primer lugar al responsable de privacidad de su propia organización. Nosotros le asistiremos a través de ella.

3.2. Cuando actuamos como responsable del tratamiento

Actuamos como responsable, y por tanto decidimos nosotros los fines y medios del tratamiento, en los siguientes casos:

• Datos de contacto de clientes potenciales, comunicaciones comerciales y gestión de la relación contractual.
• Datos de administración de las cuentas de acceso al panel (alta, autenticación, soporte).
• Datos de navegación y seguridad de nuestro propio sitio web.
• Uso del servicio por personas físicas a título individual, fuera de un contrato empresarial (por ejemplo, programas de acceso particular o de prueba).
• Registros técnicos y de seguridad necesarios para proteger nuestra propia infraestructura.

4. Cómo funciona el servicio

Para que entienda exactamente qué ocurre con sus datos, este es el flujo real del sistema. El reporte se hace siempre desde el complemento de Gmail o de Outlook: no existe ninguna dirección de correo a la que reenviar mensajes para su análisis.

1. Un usuario recibe un correo que le resulta sospechoso y pulsa el botón de Integrasec en Gmail o en Outlook.
2. El complemento lee ese mensaje y solo ese mensaje, en su formato completo (con cabeceras y adjuntos), y nos lo envía junto con la dirección de correo del usuario, la categoría de sospecha que ha elegido y, opcionalmente, un comentario libre. En Gmail, el complemento se ejecuta en la infraestructura de Google (Google Apps Script) bajo la cuenta del propio usuario, y solo puede comunicarse con nuestro servidor.
3. Comprobamos que la cuenta pertenece a una organización con licencia activa. En Gmail, además, verificamos criptográficamente con Google que el usuario es quien dice ser, para impedir que nadie suplante a otro. En Outlook comprobamos que la dirección pertenece a una organización cliente.
4. Para analizarlo, el mensaje pasa por una cola de trabajo, donde espera su turno almacenado de forma transitoria en nuestra infraestructura de Bélgica. Se elimina en cuanto termina el análisis y, en cualquier caso, a las 24 horas.
5. Analizamos el mensaje: cabeceras técnicas, autenticación del remitente (SPF, DKIM, DMARC), antigüedad y reputación de los dominios, enlaces, códigos QR incrustados en imágenes y adjuntos. Para saber adónde conduce un enlace, nuestro servidor puede visitarlo y seguir sus redirecciones, igual que lo haría el usuario, pero sin rellenar ni enviar ningún formulario y sin conservar el contenido de las páginas.
6. Enviamos la información relevante a un modelo de inteligencia artificial alojado en la Unión Europea, que emite un veredicto razonado.
7. Enviamos al usuario un correo con el resultado y guardamos el registro del análisis en el panel de su organización.

5. Datos personales que tratamos

5.1. Datos del correo reportado

Es el núcleo del servicio y, por transparencia, lo detallamos exhaustivamente. Cuando se reporta un correo tratamos:

5.2. Datos de cuenta y del panel de gestión

• Nombre y apellidos, dirección de correo corporativa, organización a la que pertenece y rol asignado.
• Credenciales de autenticación. Si accede mediante inicio de sesión único con Google o Microsoft, nunca vemos ni almacenamos su contraseña: recibimos únicamente un testigo de identidad verificado. Si accede con contraseña propia, esta se gestiona mediante un proveedor de identidad especializado que la almacena de forma cifrada e irreversible.
• Registro de accesos, fechas de conexión e intentos fallidos, con fines de seguridad.
• Valoraciones y correcciones que los analistas de la organización realizan sobre los veredictos, junto con la identidad de quien las efectúa.

5.3. Datos de configuración de la organización

Sector de actividad, tamaño, proveedores habituales, herramientas corporativas, dominios propios y remitentes internos legítimos. Esta información se utiliza para contextualizar el análisis y reducir falsos positivos.

5.4. Datos de sincronización de directorio

Cuando una organización cliente lo autoriza expresamente, sincronizamos el listado de usuarios de su directorio corporativo (Google Workspace o Microsoft 365) para gestionar licencias y altas y bajas. En ese caso tratamos nombre, dirección de correo y estado de la cuenta (activa, suspendida o eliminada), en modo de solo lectura. No accedemos al contenido de los buzones a través de esta vía.

5.5. Datos técnicos, de navegación y cookies

En el uso del panel web tratamos dirección IP, tipo de navegador y dispositivo, páginas visitadas y marcas temporales, con fines de seguridad y de funcionamiento. Utilizamos cookies estrictamente necesarias para mantener la sesión iniciada y proteger el formulario frente a ataques. No empleamos cookies publicitarias ni de creación de perfiles.

6. Permisos de Google y Microsoft: qué pedimos y para qué

El complemento solicita el conjunto mínimo de permisos imprescindible para funcionar. Ni uno más.

Esos cuatro permisos son todos los que el complemento solicita, y los únicos que aparecen en la pantalla de consentimiento al instalarlo.

Conviene subrayar una decisión de diseño: no solicitamos el permiso gmail.readonly, que Google clasifica como restringido y que habría permitido leer el buzón completo. Utilizamos en su lugar un permiso acotado a la conversación abierta, de modo que la limitación no depende solo de nuestra buena fe: el propio sistema de Google nos impide técnicamente acceder a ningún otro correo. Google concede un acceso temporal únicamente a la conversación que el usuario tiene abierta, mientras el complemento está en marcha, y ese acceso expira. De esa conversación, a nuestros servidores solo llega el correo que el usuario decide reportar. En ningún momento recorremos, indexamos ni analizamos el resto del buzón, porque no podríamos hacerlo aunque quisiéramos.

6.1. Complemento para Microsoft Outlook

Microsoft no emplea el mismo sistema de permisos que Google. El complemento de Outlook declara un único nivel de permiso, ReadItem, que es el mínimo que permite leer el mensaje que el usuario tiene abierto. En concreto:

• Permite leer las propiedades del mensaje seleccionado: remitente, asunto, cuerpo, cabeceras de internet y archivos adjuntos.
• No permite modificar, mover ni eliminar el mensaje, ni enviar correo en nombre del usuario.
• No da acceso al resto del buzón: Outlook acota el permiso al elemento que el usuario tiene abierto en ese momento.

Al igual que en Gmail, existen niveles superiores —ReadWriteItem, que permitiría alterar el mensaje, y ReadWriteMailbox, que daría acceso a todo el buzón— y no los solicitamos.

6.2. Sincronización de directorio (funcionalidad opcional e independiente)

La sincronización de directorio descrita en el apartado 5.4 es una funcionalidad opcional, contratada aparte y hoy no activa. No forma parte del complemento ni de los permisos anteriores: cuando una organización decida habilitarla, su administrador tendrá que conceder una autorización separada y explícita sobre permisos de solo lectura del directorio corporativo (en Google Workspace, admin.directory.user.readonly y admin.directory.group.readonly). Esos permisos permiten consultar el listado de usuarios y grupos para gestionar licencias y no dan acceso a ningún correo. Ningún usuario final concede este permiso, y sin la actuación expresa del administrador la funcionalidad permanece desactivada.

7. Uso Limitado de los datos obtenidos de Google

En términos concretos, y sin perjuicio de lo anterior, nos comprometemos a lo siguiente respecto de los datos obtenidos mediante permisos de Google:

• Los utilizamos exclusivamente para prestar y mejorar las funcionalidades de análisis de seguridad del correo visibles para el usuario.
• No los transferimos a plataformas publicitarias, intermediarios de datos ni revendedores de información.
• No los utilizamos para publicidad de ningún tipo, ni para evaluación de solvencia o concesión de crédito.
• No los utilizamos ni los cedemos para crear, entrenar ni mejorar modelos generalizados de inteligencia artificial o aprendizaje automático. Los proveedores de IA que utilizamos tienen contractualmente prohibido emplear nuestros datos para entrenar sus modelos.
• Ninguna persona lee estos datos, salvo en los supuestos taxativos descritos en el apartado 13.
• Solo los compartimos con proveedores que actúan como subencargados bajo contrato, en la medida estrictamente necesaria para prestar el servicio, o cuando lo exija la ley.

8. Finalidades y bases jurídicas

9. Uso de inteligencia artificial

El veredicto de Integrasec lo emite un modelo de inteligencia artificial. Por transparencia:

• Qué se envía al modelo: asunto, cuerpo del mensaje, remitente, cabeceras técnicas, enlaces, texto extraído de los adjuntos, imágenes incrustadas cuando resulta necesario para detectar fraudes visuales o códigos QR, y el perfil de contexto de la organización.
• Qué no se envía al modelo: el motivo de sospecha y el comentario que escribe el usuario. Se excluyen deliberadamente para que la opinión previa del usuario no condicione el análisis técnico.
• Dónde se procesa: en infraestructura de Google Cloud Vertex AI dentro de la Unión Europea. El análisis se realiza a través del punto de acceso multirregional de la UE, para el que Google garantiza que los datos se almacenan y se procesan exclusivamente en Estados miembros de la Unión Europea (excluidos Reino Unido y Suiza). La búsqueda de casos similares se realiza en la región europe-west1 (Bélgica).
• Entrenamiento: los datos enviados no se utilizan para entrenar ni mejorar los modelos del proveedor. Vertex AI no emplea los datos de sus clientes empresariales con esa finalidad.
• Retención en el proveedor: el proveedor de IA no conserva los datos de forma persistente para sus propios fines; el tratamiento es puntual y orientado a devolver el resultado.
• Continuidad: si el modelo principal no está disponible en un momento dado, la consulta puede repetirse con otro modelo del mismo proveedor, siempre dentro de la Unión Europea.

9.1. Sobre las decisiones automatizadas

El veredicto de Integrasec es una recomendación técnica de seguridad sobre un mensaje, no una decisión sobre una persona. No produce efectos jurídicos ni afecta significativamente a los usuarios en el sentido del artículo 22 del RGPD: no determina el acceso a un empleo, a un crédito ni a un servicio, ni se emplea para evaluar, sancionar ni supervisar el desempeño de ningún trabajador. La organización cliente conserva en todo momento la capacidad de revisar, corregir y anular cualquier veredicto a través del panel.

10. Destinatarios y proveedores

No vendemos datos personales. Los compartimos únicamente con los proveedores necesarios para prestar el servicio, todos ellos vinculados por contratos de encargo de tratamiento conformes al artículo 28 del RGPD:

Cuando nuestro servidor visita un enlace del mensaje para saber adónde conduce (apartado 4), el sitio web visitado recibe esa visita como la recibiría de cualquier navegador: la dirección solicitada y la dirección IP de nuestro servidor, nunca la del usuario. Si el enlace contiene un identificador puesto por el remitente, el sitio visitado puede deducir que alguien lo ha abierto. No enviamos ningún otro dato a esos sitios.

Además, podremos comunicar datos a Juzgados, Tribunales, Fuerzas y Cuerpos de Seguridad y Administraciones Públicas cuando exista una obligación legal o un requerimiento válido, así como a nuestros asesores profesionales sujetos a deber de secreto.

11. Transferencias internacionales

La práctica totalidad del tratamiento se realiza en servidores ubicados en la Unión Europea, incluido el análisis por inteligencia artificial. Existen las siguientes excepciones puntuales. Ninguna de ellas entrega el cuerpo ni los adjuntos de las comunicaciones analizadas a un proveedor para que los trate:

• Google Firebase Authentication: el servicio con el que los usuarios del panel de administración inician sesión se presta desde Estados Unidos. Trata su dirección de correo electrónico y sus credenciales de acceso (la contraseña, almacenada de forma cifrada e irreversible, o la identidad del inicio de sesión con Google o Microsoft). No afecta a los empleados que solo reportan correos ni al contenido de ningún mensaje.
• Google Web Risk: se consultan las URLs halladas en el mensaje.
• Registros WHOIS: se consultan los nombres de dominio del remitente y de los enlaces para conocer su antigüedad y titularidad. La consulta se dirige al registrador correspondiente, que puede estar ubicado fuera de la Unión Europea. No se transmite ningún otro dato del usuario ni del mensaje.
• Sitios web enlazados: las visitas de comprobación descritas en el apartado 10 se dirigen al servidor donde esté alojado cada sitio, que puede encontrarse en cualquier país.
• Complemento de Gmail: se ejecuta en Google Apps Script, la infraestructura de Google en la que funcionan los complementos de Gmail. El mensaje reportado pasa por ella en tránsito hacia nuestro servidor, bajo la cuenta de Google Workspace del propio usuario, y Google no garantiza para ese servicio una región concreta.

Los archivos adjuntos no se envían a ningún servicio de análisis externo ni se consultan en ninguna base de datos de terceros: su inspección es enteramente local y de ellos solo se conserva la huella criptográfica (SHA-256) dentro de nuestra propia infraestructura europea.

Estas consultas están amparadas por las garantías previstas en el Capítulo V del RGPD, mediante Cláusulas Contractuales Tipo aprobadas por la Comisión Europea y, cuando resulta aplicable, la adhesión al EU-U.S. Data Privacy Framework. Puede solicitar copia de estas garantías en la dirección indicada en el apartado 18.

Nuestros proveedores de alojamiento y de correo tratan los datos en centros de datos de la Unión Europea. No obstante, al tratarse de compañías con matriz fuera del Espacio Económico Europeo, no puede descartarse un acceso remoto puntual desde fuera de la UE con fines de soporte técnico. Dichos accesos están cubiertos por los mismos mecanismos del Capítulo V del RGPD y por las medidas complementarias de cifrado y control de acceso de cada proveedor.

12. Plazos de conservación

Finalizado el contrato con una organización cliente, sus datos se suprimen o devuelven en el plazo de 30 días, salvo obligación legal de conservación. Durante los primeros 15 días de ese periodo la organización puede solicitar la exportación de su información.

13. Acceso de nuestro personal a los datos

Como regla general, nuestro personal no accede al contenido de los correos analizados. El acceso está limitado a un número reducido de personas autorizadas y solo puede producirse en estos supuestos:

• Con autorización expresa de la organización cliente. El administrador de la empresa concede el acceso desde su panel de configuración y elige durante cuánto tiempo (desde 3 horas hasta indefinido). El permiso caduca solo al vencer el plazo y puede revocarse en cualquier momento con efecto inmediato. Sin esa autorización vigente, el sistema impide técnicamente el acceso. Hay dos casos en los que el acceso figura concedido de forma permanente, y así se muestra en el panel de la organización: cuando la organización ha contratado con nosotros la gestión de su seguridad, porque el acceso forma parte del propio servicio, y en las organizaciones dadas de alta antes del 21 de agosto de 2026, que conservan el acceso que tenían hasta que lo modifiquen o lo revoquen.
• Por motivos de seguridad, para investigar una amenaza activa, un abuso de la plataforma o un incidente de seguridad.
• Para cumplir una obligación legal o atender un requerimiento válido de una autoridad competente.
• Sobre datos agregados y anonimizados, para operaciones internas como el control de calidad o el diagnóstico de errores.

Todos los accesos quedan registrados en un registro de auditoría que recoge quién accedió, a qué organización, cuándo y desde qué dirección IP —incluidos los intentos denegados—. Si por cualquier motivo el acceso no puede quedar registrado, no se concede. Todo el personal autorizado está sujeto además a obligaciones contractuales de confidencialidad que subsisten tras la finalización de su relación con la empresa.

14. Medidas de seguridad

Aplicamos medidas técnicas y organizativas apropiadas conforme al artículo 32 del RGPD, entre ellas:

• Cifrado en tránsito mediante TLS y cifrado en reposo de la información almacenada.
• Autenticación mediante proveedor de identidad especializado, con soporte de inicio de sesión único corporativo.
• Verificación criptográfica de la identidad del usuario en cada reporte desde Gmail, que impide la suplantación de licencias; en Outlook, comprobación de que el usuario pertenece a una organización cliente.
• Segregación estricta de los datos por organización: ninguna organización puede acceder a los registros de otra.
• Control de acceso por roles y principio de mínimo privilegio.
• Salvaguardas frente a contenido malicioso en el procesamiento de adjuntos, con límites de tamaño y protección frente a archivos comprimidos maliciosos.
• Registro de accesos y actividad, y copias de seguridad periódicas.

En caso de violación de la seguridad de los datos personales que entrañe un riesgo para los derechos y libertades de las personas, lo notificaremos a la autoridad de control competente y, en su caso, a los afectados, en los plazos establecidos por los artículos 33 y 34 del RGPD.

Cuando la brecha afecte a datos que tratamos por cuenta de una organización cliente, se lo notificaremos a esta sin dilación indebida y, en todo caso, dentro de las 72 horas siguientes a que tengamos conocimiento de ella, facilitándole la información necesaria para que pueda cumplir sus propias obligaciones de notificación. Si en ese momento no dispusiéramos de todos los detalles, remitiremos la información disponible y la completaremos de forma progresiva sin esperar al cierre de la investigación.

15. Sus derechos

Puede ejercer en cualquier momento los siguientes derechos:

• Acceso: conocer qué datos suyos tratamos.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: solicitar la eliminación de sus datos cuando ya no sean necesarios.
• Limitación: solicitar que se suspenda el tratamiento en determinados supuestos.
• Oposición: oponerse a tratamientos basados en nuestro interés legítimo.
• Portabilidad: recibir sus datos en un formato estructurado y de uso común.
• Retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento previo.

Para ejercerlos, escriba a administracion@integrasec.net indicando el derecho que desea ejercer. Podremos solicitarle que acredite su identidad. Responderemos en el plazo de un mes, prorrogable por dos meses adicionales cuando la solicitud sea especialmente compleja.

15.1. Cómo revocar el acceso y desinstalar el complemento

Puede retirar en cualquier momento los permisos que concedió al instalar el complemento, sin necesidad de contactar con nosotros y sin dar explicaciones:

• Google: en myaccount.google.com/permissions, seleccionando Integrasec y retirando el acceso. Para desinstalarlo por completo, desde el Google Workspace Marketplace o, si lo implantó su organización, solicitándolo a su administrador.
• Microsoft: desde Obtener complementos en Outlook, en la pestaña de complementos instalados, o a través del administrador de Microsoft 365 de su organización.

Al revocar el acceso, el permiso deja de ser válido de inmediato y el complemento no puede volver a leer ningún mensaje. Los análisis ya realizados no se borran automáticamente: permanecen en el panel de su organización hasta que vence el plazo de conservación del apartado 12, porque su titularidad corresponde a la organización cliente y no al usuario individual. Si desea que se supriman antes, solicítelo a su organización o escríbanos a la dirección del apartado 18.

16. Menores de edad

Integrasec es un servicio dirigido a organizaciones y a usuarios profesionales. No está diseñado ni destinado a menores de 14 años y no recabamos deliberadamente sus datos. Si detectamos que hemos tratado datos de un menor sin base jurídica válida, los suprimiremos sin dilación.

17. Cambios en esta política

Podemos actualizar esta política para reflejar cambios en el servicio o en la normativa aplicable. La versión vigente estará siempre publicada en esta dirección, con indicación de su fecha de última actualización. Si introducimos cambios sustanciales que afecten de forma significativa al tratamiento de sus datos, lo comunicaremos con antelación razonable por correo electrónico o mediante un aviso destacado en el panel.

18. Contacto y reclamaciones

Para cualquier cuestión relativa a esta política o al tratamiento de sus datos:

Si considera que no hemos atendido correctamente su solicitud, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid — www.aepd.es) o ante la autoridad de control de su lugar de residencia.