Política de privacidad

1. Responsable del tratamiento

Pendiente: razón social, identificación fiscal, domicilio y correo de contacto del responsable; delegado de protección de datos, si procede

2. Qué datos tratamos

• Cuenta: nombre visible, correo electrónico y fechas de creación y del último acceso. De la contraseña solo se guarda un resumen con scrypt, nunca la contraseña. Con el acceso por el proveedor de identidad (OIDC) se guardan, en el primer acceso y sin actualizarse después, el emisor, el identificador de la persona en ese emisor y el nombre que facilita; si no facilita un nombre, se usa su nombre de usuario o su correo, aunque no esté verificado. El correo solo se guarda como dato de la cuenta si el proveedor lo da por verificado. Estos datos se guardan aunque la persona no pertenezca a ninguna organización.
• Organización y permisos: membresías, roles y permisos concedidos.
• Autoría: los contratos, evidencias, reclamaciones, revisiones, comentarios y decisiones quedan vinculados a la persona que los registra, junto con el texto de sus comentarios y motivos. Los expedientes en HTML y PDF muestran el nombre visible de quien decide, y el manifiesto JSON, su identificador.
• Registro de actividad (auditoría): acción realizada, persona que la realiza, instante, identificador de la petición, objeto afectado y detalles de la acción (por ejemplo, el correo de un miembro añadido o el nombre de un proyecto). No guarda la dirección IP.
• Sesiones: un token en una cookie, del que en la base de datos solo se guarda su SHA-256 (véase la Política de cookies). Cada inicio de sesión deja un registro con la persona, la organización activa y las fechas de inicio, caducidad y cierre, de modo que se conserva el historial de accesos y no solo el último.
• Protección del inicio de sesión: para limitar los intentos, el servidor guarda en la base de datos la hora de cada intento fallido asociada a un código calculado a partir de la dirección IP y el correo con una clave secreta del servicio, del que no pueden deducirse ni la dirección IP ni el correo; y bloquea el acceso a partir de 10 intentos fallidos en 15 minutos. Del mismo modo, con códigos de los que no pueden deducirse la dirección IP ni el correo, se limitan las solicitudes de alta, de recuperación de la contraseña y de cambio de correo, los reenvíos, los usos de enlaces de los correos, las invitaciones y las altas directas de miembros con un correo que ya tiene cuenta. Estas anotaciones se borran, como tarde, unos minutos después de que dejen de contar para el límite.
• Registros técnicos del servidor: dirección IP de la conexión (puede ser la del proxy del alojamiento), método, ruta con sus parámetros, código de respuesta y fecha de cada petición; el detalle de los errores no controlados, que puede incluir datos de la petición; y las direcciones que el proceso en segundo plano consulta a los proveedores de repositorios, que incluyen el propietario y el nombre de cada repositorio. Pendiente: conservación que aplica el proveedor de alojamiento
• Alta de clientes (cuando se habilite): nombre y correo de la persona; un resumen scrypt de la contraseña elegida, que pasa a ser la contraseña de la cuenta y se borra de la solicitud al confirmarse el correo; nombre e identificador de la organización y sus datos legales declarados (razón social, país, tipo y número de identificación fiscal o registral); versión y fecha de aceptación de los Términos, y cuándo se confirmó el correo (en ese momento la cuenta y la organización quedan activadas). Una solicitud sin el correo confirmado se borra a las 72 horas; las sustituidas por otra posterior o hechas con un correo que ya tenía cuenta, a los 30 días; las activadas se conservan como registro de los datos declarados de la organización. Pendiente: verificación de la organización en fuentes oficiales y conservación de los datos legales de las organizaciones dadas de alta
• Correos del servicio: para enviar los correos de confirmación del alta, recuperación de la contraseña, invitaciones, cambio de correo y avisos de la cuenta, se guarda en una cola el destinatario, el tipo de correo y los datos que lo componen (por ejemplo, nombres, organización y fechas; nunca contraseñas ni los enlaces), con su estado y sus intentos de envío. Se borra 30 días después de enviarse o de descartarse. De cada enlace de un solo uso solo se guarda un resumen SHA-256, que se borra 7 días después de caducar.
• Aceptación de los Términos: por cada cuenta, la versión aceptada, la fecha y el origen (alta, invitación o nueva aceptación). No se borra.
• Invitaciones: correo y nombre de la persona invitada, rol, quién invita, estado y fechas. No se borran.
• Acciones del operador del servicio: quién suspende o reactiva organizaciones o marca como verificado el correo de una cuenta, cuándo y con qué motivo. No se borran.
• Organización de trabajo: de cada cuenta, la última organización en la que trabajó, para abrir en ella la siguiente sesión.
• Contenido del cliente: contratos, evidencias, datos de repositorios (por ejemplo, autores de commits) y tickets. Pueden contener datos personales de terceros, que BugOrBill trataría por cuenta de la organización cliente, como encargado del tratamiento Pendiente: confirmar esta calificación en la revisión jurídica y redactar el acuerdo de encargo del tratamiento.
• Asistencia por IA (solo si se usa): está desactivada salvo que el operador del servicio la habilite. En las preparaciones del expediente en las que una persona marca «Usar IA», se envían al proveedor de IA que el operador configure fragmentos del texto de los documentos y tickets que se interpretan, que pueden contener los datos personales que figuren en ellos (por ejemplo, el nombre de quien firma un contrato o de quien informa una incidencia). Antes del envío se sustituyen por un marcador las credenciales detectadas, y de las personas que figuran en los tickets se envía el nombre, no el correo ni el teléfono. Se registran quién pide la preparación; de cada llamada, el proveedor, el modelo, los tokens y el coste estimado; la respuesta del proveedor, que se conserva como evidencia; y quién acepta, corrige o rechaza cada propuesta, con su motivo.
• Ayuda de la aplicación (Inspector Bug): la ayuda recibe solo el texto que se escribe en ella, la pantalla y el campo en que se está; nunca lee contratos, tickets, evidencias ni resultados. La responde primero la guía de la aplicación, sin guardar nada. Si la guía no basta, la persona ha iniciado sesión y el operador tiene habilitada la asistencia por IA, la pregunta se envía al proveedor de IA configurado, después de sustituir por un marcador las credenciales, los correos y los teléfonos que contenga; de esa llamada se registran quién pregunta, la pantalla y el campo, el proveedor, el modelo, los tokens y el coste, pero no el texto de la pregunta ni el de la respuesta. Las preguntas sin sesión (en el alta y en planes) se limitan con un código calculado a partir de la dirección IP con una clave secreta, del que no puede deducirse la dirección.
• Pagos (cuando se habilite la contratación): los gestionará el proveedor de pagos. BugOrBill le facilitará el correo de quien contrata y recibirá de él las referencias del cliente y de la suscripción, el plan, el periodo, el estado y el importe y la moneda de cada cobro; nunca números de tarjeta ni datos bancarios.

3. Finalidades y bases jurídicas

Los datos se tratan para prestar el servicio contratado, mantener su seguridad y cumplir las obligaciones legales.

Con la asistencia por IA, los fragmentos se envían solo para obtener propuestas de interpretación del expediente, que una persona revisa antes de incorporarlas. El análisis que clasifica las reclamaciones no usa IA.

Solo se enviarían comunicaciones comerciales con un consentimiento separado y opcional; hoy no se envían.

Pendiente: revisión jurídica de las bases de cada tratamiento

4. Destinatarios y encargados

BugOrBill no vende los datos ni los cede con fines publicitarios. Reciben datos para prestar el servicio:

• el proveedor de alojamiento de la aplicación;
• el de base de datos y almacenamiento de evidencias;
• si se usa, el proveedor de identidad configurado para el acceso por OIDC, que autentica a la persona y facilita sus datos de identidad;
• cuando se active el envío de correos, el proveedor de correo, que recibe el destinatario y el contenido de cada mensaje Pendiente: nombrarlo (previsto: Google Workspace);
• cuando se habilite la contratación, el proveedor de pagos, que actúa como vendedor ante el comprador;
• cuando se habilite la verificación de organizaciones, las fuentes oficiales que se consulten;
• si el operador la habilita y una persona la usa en una preparación, el proveedor de IA que el operador configure, que recibe los fragmentos descritos en el apartado 2 para proponer interpretaciones; ese mismo proveedor recibe las preguntas a la ayuda que la guía no responde, descritas en el apartado 2.

El operador debe elegir un proveedor de IA cuyas condiciones excluyan el uso de los datos recibidos por su API para entrenar modelos; BugOrBill no puede comprobarlo por sí mismo.

Pendiente: lista definitiva de destinatarios, región de cada uno y su calificación jurídica (encargado o responsable independiente)

Pendiente: proveedor de IA elegido, sus condiciones de uso y conservación de los datos, y su calificación jurídica respecto al contenido del cliente

5. Transferencias internacionales

Si se usa la asistencia por IA, el proveedor de IA puede tratar los fragmentos enviados fuera del país del responsable, según dónde preste su servicio.

Pendiente: países de los proveedores, incluido el de IA, y garantías aplicables

6. Conservación

Una sesión deja de ser válida a las 12 horas, o según la configuración del servicio, y también al cerrarla, cuando la persona cambia su contraseña desde otra sesión, la restablece con el enlace del correo o cambia el correo de su cuenta; su registro se conserva en la base de datos. BugOrBill no elimina automáticamente los datos de una organización, y tampoco lo hace el fin de una prueba gratuita o de una suscripción.

Los datos de una organización se borran o se anonimizan cuando quien la administra pide su cierre y, pasado el plazo de gracia (30 días, o el que fije la configuración del servicio), el operador del servicio lo ejecuta: se borran del almacén los archivos de evidencias, informes y exportaciones que ninguna otra organización usa, se borran las credenciales de sus conexiones con repositorios y otras fuentes, se sustituyen por «[eliminado]» los textos libres y el contenido de sus registros (contratos, reclamaciones, evidencias, commits con sus autores, comentarios, decisiones) y se anonimizan las cuentas de sus miembros que no pertenecen a otra organización. Se conservan, sin ese contenido, el historial de cobros (pedidos, suscripciones y notificaciones del proveedor de pagos, con el correo de cliente anonimizado), la auditoría (qué se hizo, cuándo y sobre qué registro, sin nombres, direcciones ni textos), los datos legales declarados de la organización y la concesión de la prueba gratuita (para que no se repita), además de las fechas, los estados y las huellas SHA-256 de cada registro. Las exportaciones de una organización se borran al terminar su plazo de descarga (72 horas, o el que fije la configuración).

Pendiente: plazos de conservación de cada categoría, incluidos los registros de sesión y lo que se conserva tras el cierre, tras revisión jurídica

7. Derechos

Los derechos de las personas sobre sus datos (acceso, rectificación, supresión, oposición, limitación y portabilidad, u otros que reconozca la ley) se ejercen según la normativa aplicable. Pendiente: normativa aplicable y canal para ejercerlos

Lo que cada persona y cada organización pueden hacer hoy en el servicio:

• Rectificación: en Mi cuenta, cada persona cambia su nombre visible y su contraseña y, en una cuenta local, su correo (con confirmación desde la dirección nueva).
• Supresión de la cuenta: en Mi cuenta, con su contraseña, cada persona puede borrar su cuenta: deja de ser miembro de sus organizaciones, se cierran sus sesiones y su nombre, su correo y su contraseña se sustituyen (la cuenta queda anonimizada y desactivada), también en los enlaces, la cola de correo, las invitaciones y las altas que llevaban cualquiera de las direcciones que tuvo. Los datos de cada organización se quedan en ella, y su auditoría se conserva con la persona anonimizada. No se admite mientras sea la única persona que administra una organización activa.
• Portabilidad y acceso de la organización: quien administra una organización puede descargar una exportación completa de sus datos (un archivo ZIP con sus tablas en JSON, sus miembros y sus archivos de evidencias e informes), también en modo de consulta.
• Supresión de la organización: quien la administra puede pedir su cierre (ver «Conservación»); durante el plazo de gracia puede retirarlo.

Pendiente: canal para que las personas observadas en los repositorios y tickets de un cliente (por ejemplo, autores de commits) ejerzan sus derechos, que BugOrBill atiende por cuenta de la organización cliente; y plazos de respuesta

Pendiente: autoridad de control ante la que reclamar, según la jurisdicción del responsable

8. Seguridad

BugOrBill aplica estas medidas:

• aislamiento por organización y permisos por proyecto;
• contraseñas con scrypt;
• cookie de sesión HttpOnly y SameSite=Strict;
• protección CSRF;
• cifrado de las credenciales de conexión;
• con la asistencia por IA, sustitución de las credenciales detectadas en el texto antes de enviarlo al proveedor;
• registro de auditoría de solo añadir;
• comprobación de la integridad de las evidencias.

9. Cambios

Cada versión de esta política se identifica con su fecha.