Política de privacidad

1. Responsable del tratamiento

Pendiente: razón social, identificación fiscal, domicilio y correo de contacto del responsable; delegado de protección de datos, si procede

2. Qué datos tratamos

• Cuenta: nombre visible, correo electrónico y fechas de creación y del último acceso. De la contraseña solo se guarda un resumen con scrypt, nunca la contraseña. Con el acceso por el proveedor de identidad (OIDC) se guardan, en el primer acceso y sin actualizarse después, el emisor, el identificador de la persona en ese emisor y el nombre que facilita; si no facilita un nombre, se usa su nombre de usuario o su correo, aunque no esté verificado. El correo solo se guarda como dato de la cuenta si el proveedor lo da por verificado. Estos datos se guardan aunque la persona no pertenezca a ninguna organización.
• Organización y permisos: membresías, roles y permisos concedidos.
• Autoría: los contratos, evidencias, reclamaciones, revisiones, comentarios y decisiones quedan vinculados a la persona que los registra, junto con el texto de sus comentarios y motivos. Los expedientes en HTML y PDF muestran el nombre visible de quien decide, y el manifiesto JSON, su identificador.
• Registro de actividad (auditoría): acción realizada, persona que la realiza, instante, identificador de la petición, objeto afectado y detalles de la acción (por ejemplo, el correo de un miembro añadido o el nombre de un proyecto). No guarda la dirección IP.
• Sesiones: un token en una cookie, del que en la base de datos solo se guarda su SHA-256 (véase la Política de cookies). Cada inicio de sesión deja un registro con la persona, la organización activa y las fechas de inicio, caducidad y cierre, de modo que se conserva el historial de accesos y no solo el último.
• Protección del inicio de sesión: para limitar los intentos, el servidor anota en memoria la hora de cada intento fallido por dirección IP y correo, y bloquea el acceso a partir de 10 intentos fallidos en 15 minutos. Estos datos no se guardan en la base de datos y se pierden, como tarde, al reiniciar el servicio.
• Registros técnicos del servidor: dirección IP de la conexión (puede ser la del proxy del alojamiento), método, ruta con sus parámetros, código de respuesta y fecha de cada petición; el detalle de los errores no controlados, que puede incluir datos de la petición; y las direcciones que el proceso en segundo plano consulta a los proveedores de repositorios, que incluyen el propietario y el nombre de cada repositorio. Pendiente: conservación que aplica el proveedor de alojamiento
• Alta de clientes (cuando se habilite): datos de la persona; datos legales de la organización (razón social, país e identificador fiscal o registral); versión y fecha de aceptación de los términos. También el resultado de verificar la organización en fuentes oficiales.
• Contenido del cliente: contratos, evidencias, datos de repositorios (por ejemplo, autores de commits) y tickets. Pueden contener datos personales de terceros, que BugOrBill trataría por cuenta de la organización cliente, como encargado del tratamiento Pendiente: confirmar esta calificación en la revisión jurídica y redactar el acuerdo de encargo del tratamiento.
• Asistencia por IA (solo si se usa): está desactivada salvo que el operador del servicio la habilite. En las preparaciones del expediente en las que una persona marca «Usar IA», se envían al proveedor de IA que el operador configure fragmentos del texto de los documentos y tickets que se interpretan, que pueden contener los datos personales que figuren en ellos (por ejemplo, el nombre de quien firma un contrato o de quien informa una incidencia). Antes del envío se sustituyen por un marcador las credenciales detectadas, y de las personas que figuran en los tickets se envía el nombre, no el correo ni el teléfono. Se registran quién pide la preparación; de cada llamada, el proveedor, el modelo, los tokens y el coste estimado; la respuesta del proveedor, que se conserva como evidencia; y quién acepta, corrige o rechaza cada propuesta, con su motivo.
• Pagos (cuando se habilite la contratación): los gestionará el proveedor de pagos. BugOrBill le facilitará el correo de quien contrata y recibirá de él las referencias del cliente y de la suscripción, el plan, el periodo, el estado y el importe y la moneda de cada cobro; nunca números de tarjeta ni datos bancarios.

3. Finalidades y bases jurídicas

Los datos se tratan para prestar el servicio contratado, mantener su seguridad y cumplir las obligaciones legales.

Con la asistencia por IA, los fragmentos se envían solo para obtener propuestas de interpretación del expediente, que una persona revisa antes de incorporarlas. El análisis que clasifica las reclamaciones no usa IA.

Solo se enviarían comunicaciones comerciales con un consentimiento separado y opcional; hoy no se envían.

Pendiente: revisión jurídica de las bases de cada tratamiento

4. Destinatarios y encargados

BugOrBill no vende los datos ni los cede con fines publicitarios. Reciben datos para prestar el servicio:

• el proveedor de alojamiento de la aplicación;
• el de base de datos y almacenamiento de evidencias;
• si se usa, el proveedor de identidad configurado para el acceso por OIDC, que autentica a la persona y facilita sus datos de identidad;
• cuando se habiliten, el proveedor de correo y el proveedor de pagos, que actúa como vendedor ante el comprador;
• cuando se habilite la verificación de organizaciones, las fuentes oficiales que se consulten;
• si el operador la habilita y una persona la usa en una preparación, el proveedor de IA que el operador configure, que recibe los fragmentos descritos en el apartado 2 para proponer interpretaciones.

El operador debe elegir un proveedor de IA cuyas condiciones excluyan el uso de los datos recibidos por su API para entrenar modelos; BugOrBill no puede comprobarlo por sí mismo.

Pendiente: lista definitiva de destinatarios, región de cada uno y su calificación jurídica (encargado o responsable independiente)

Pendiente: proveedor de IA elegido, sus condiciones de uso y conservación de los datos, y su calificación jurídica respecto al contenido del cliente

5. Transferencias internacionales

Si se usa la asistencia por IA, el proveedor de IA puede tratar los fragmentos enviados fuera del país del responsable, según dónde preste su servicio.

Pendiente: países de los proveedores, incluido el de IA, y garantías aplicables

6. Conservación

Una sesión deja de ser válida a las 12 horas, o según la configuración del servicio, o al cerrarla; su registro se conserva en la base de datos. BugOrBill no elimina automáticamente los datos de una organización, y tampoco lo hará el fin de una prueba gratuita o de una suscripción cuando se habiliten.

Pendiente: plazos de conservación de cada categoría, incluidos los registros de sesión, y procedimiento de borrado

7. Derechos

Los derechos de las personas sobre sus datos (acceso, rectificación, supresión, oposición, limitación y portabilidad, u otros que reconozca la ley) se ejercen según la normativa aplicable. Pendiente: normativa aplicable y canal para ejercerlos

Pendiente: procedimiento de supresión, rectificación o anonimización. Hoy la base de datos no permite borrar cuentas, organizaciones, membresías ni las personas observadas en los repositorios. La auditoría, las evidencias, los commits (con nombre y correo de autores y committers), los comentarios de revisión y las decisiones son de solo añadir. El servicio tampoco permite corregir el nombre ni el correo de una cuenta

Pendiente: autoridad de control ante la que reclamar, según la jurisdicción del responsable

8. Seguridad

BugOrBill aplica estas medidas:

• aislamiento por organización y permisos por proyecto;
• contraseñas con scrypt;
• cookie de sesión HttpOnly y SameSite=Strict;
• protección CSRF;
• cifrado de las credenciales de conexión;
• con la asistencia por IA, sustitución de las credenciales detectadas en el texto antes de enviarlo al proveedor;
• registro de auditoría de solo añadir;
• comprobación de la integridad de las evidencias.

9. Cambios

Cada versión de esta política se identifica con su fecha.