Aviso de Privacidad

01 Quién es responsable de tus datos

Hansec ("Hansec", "nosotros") es el responsable del tratamiento de los datos personales descritos en este aviso. Nuestros datos de contacto son:

Cuando tratamos datos personales por cuenta de un cliente, como parte de un servicio de detección y respuesta gestionada o de una instancia de Nova, actuamos como encargado. En esos casos el cliente es el responsable, nuestro tratamiento se rige por el contrato de servicios y su anexo de tratamiento de datos, y debes dirigir tus solicitudes de derechos a dicho cliente. Nosotros le asistiremos para responderte.

Contamos con una función interna de privacidad, disponible a través de nuestro formulario de solicitudes de privacidad. Cuando el artículo 37 del RGPD exija un Delegado de Protección de Datos, ese canal permite contactarlo.

02 Alcance de este aviso

Este aviso aplica a los datos personales que tratamos cuando:

• visitas helpdesk.hansec.co o cualquier propiedad web de Hansec;
• envías un formulario de contacto, soporte o solicitud de demostración;
• te suscribes al acceso anticipado de Nova, a un boletín o a un evento;
• contratas a Hansec para servicios de consultoría, detección y respuesta gestionada, o de plataforma;
• eres empleado, contratista o usuario autorizado de un cliente de Hansec cuyo entorno monitoreamos;
• postulas a una vacante o interactúas con nosotros como proveedor o socio.

Este aviso no cubre sitios de terceros a los que enlazamos. Esos operadores publican sus propios avisos y no somos responsables de sus prácticas.

03 Datos personales que recabamos

Únicamente recabamos las categorías de datos personales que se enlistan a continuación. Identificamos expresamente los datos sensibles, conforme lo exige la ley mexicana.

Datos personales sensibles

No solicitamos datos personales sensibles — aquellos que revelen salud, origen racial o étnico, creencias religiosas o filosóficas, opiniones políticas, afiliación sindical, vida u orientación sexual, ni datos genéticos o biométricos. No incluyas ese tipo de datos en campos de texto libre. Si llegaran a nosotros de forma incidental a través de telemetría de seguridad, los tratamos con las salvaguardas reforzadas de este aviso y los eliminamos cuando dejan de ser necesarios para el fin de seguridad.

Datos que no recabamos

No recabamos conscientemente datos de menores de edad, no compramos listas de mercadotecnia y no vendemos datos personales.

04 Finalidades del tratamiento

La ley mexicana exige distinguir entre finalidades necesarias para la relación jurídica y finalidades voluntarias. Puedes negarte a estas últimas, o revocarlas en cualquier momento, sin que ello afecte los servicios que recibes.

Finalidades necesarias

• Atender tus consultas y elaborar cotizaciones.
• Formalizar, ejecutar y administrar un contrato contigo o con tu empleador.
• Prestar servicios de monitoreo, detección, investigación y respuesta de seguridad.
• Operar, asegurar y dar soporte a la plataforma Nova, incluyendo aislamiento entre inquilinos, control de acceso y auditoría.
• Detectar, investigar y prevenir incidentes de seguridad, fraude y abuso — en nuestros sistemas y en los de nuestros clientes.
• Facturación, cobranza, contabilidad y cumplimiento fiscal.
• Cumplir obligaciones legales, regulatorias y contractuales, y ejercer o defender acciones legales.
• Gestionar procesos de reclutamiento cuando postulas a una vacante.

Finalidades voluntarias

• Enviarte anuncios de producto, investigación de amenazas y boletines.
• Invitarte a webinars, sesiones informativas y eventos.
• Medir la audiencia del sitio y mejorar el contenido mediante analítica.
• Elaborar estadísticas y comparativos anonimizados o agregados. Una vez agregados de forma irreversible, dejan de ser datos personales.
• Utilizar tu testimonio o logotipo como referencia, cuando lo hayas autorizado por separado.

Para negarte a las finalidades voluntarias, o revocar un consentimiento previamente otorgado, envía nuestro formulario de solicitudes de privacidad indicando "Limitación de uso", o utiliza el enlace para darte de baja incluido en cualquier comunicación de mercadotecnia. La revocación no afecta los tratamientos realizados antes de la misma.

05 Fundamento del tratamiento

Cuando resulte aplicable el RGPD o el RGPD del Reino Unido, nos apoyamos en las siguientes bases del artículo 6(1):

Contrato — Art. 6(1)(b)

Prestar los servicios que tú o tu empleador contrataron, administrar cuentas y procesar pagos.

Interés legítimo — Art. 6(1)(f)

Asegurar nuestra infraestructura y los entornos de nuestros clientes, prevenir fraude y abuso, gestionar la relación comercial entre empresas y mejorar nuestros servicios. Hemos ponderado estos intereses frente a tus derechos y documentado esa evaluación; puedes solicitar un resumen.

Obligación legal — Art. 6(1)(c)

Obligaciones fiscales, contables, corporativas y de colaboración con autoridades.

Consentimiento — Art. 6(1)(a)

Cookies no esenciales, comunicaciones de mercadotecnia y cualquier tratamiento opcional. Puedes retirarlo en cualquier momento.

Interés vital o público

De forma excepcional, y solo cuando un incidente de seguridad activo represente un riesgo para la vida o para infraestructura crítica.

Conforme a la legislación mexicana, el tratamiento para las finalidades necesarias antes descritas se realiza con base en la relación contractual y en las excepciones al consentimiento reconocidas por la LFPDPPP. Las finalidades voluntarias se sustentan en tu consentimiento, que será expreso cuando involucre datos sensibles o patrimoniales.

06 Cookies y tecnologías similares

Utilizamos un conjunto deliberadamente reducido de cookies y entradas de almacenamiento local. Hansec no coloca cookies publicitarias ni de rastreo entre sitios.

Las cookies estrictamente necesarias no requieren consentimiento porque el sitio no puede funcionar sin ellas. Todo lo demás está desactivado hasta que lo aceptes. Puedes modificar o retirar tus decisiones en cualquier momento desde el control de preferencias de cookies, y puedes bloquearlas o eliminarlas desde tu navegador — algunas funciones podrían dejar de operar.

Respetamos la señal Global Privacy Control (GPC). Si tu navegador la envía, la interpretamos como una oposición a la venta y al intercambio conforme a la CCPA, y como rechazo de las cookies no esenciales.

07 Con quién compartimos datos

No vendemos datos personales ni los compartimos para publicidad conductual entre contextos. Divulgamos datos personales únicamente a los siguientes destinatarios y solo en la medida necesaria:

Proveedores de servicios

Infraestructura en la nube, envío de correo, mesa de tickets, CRM, analítica, contabilidad y procesamiento de pagos, que actúan bajo nuestras instrucciones documentadas y un contrato escrito de tratamiento.

Subencargados

Cuando actuamos como encargados de un cliente, contratamos subencargados solo con su autorización, mantenemos una lista vigente y notificamos los cambios con antelación para que pueda oponerse.

Asesores profesionales

Abogados, auditores, aseguradoras y contadores sujetos a secreto profesional.

Autoridades

Reguladores, tribunales y autoridades de procuración de justicia cuando exista un requerimiento legalmente fundado. Evaluamos cada solicitud, exigimos un proceso legal válido, divulgamos el mínimo indispensable y notificamos al cliente afectado salvo prohibición legal.

Operaciones corporativas

Un posible adquirente o entidad sucesora en una fusión, adquisición o venta de activos, sujeto a confidencialidad y a que este aviso siga aplicando.

Conforme a la ley mexicana, las transferencias a los destinatarios anteriores que resulten necesarias para cumplir el contrato contigo, o que se ubiquen en las excepciones legales, no requieren consentimiento adicional. Cualquier transferencia fuera de esos supuestos te será notificada y, cuando proceda, quedará condicionada a tu consentimiento.

08 Transferencias internacionales

Hansec está establecida en México. Nuestros proveedores pueden tratar datos en Estados Unidos, la Unión Europea y otras jurisdicciones. Cuando los datos personales salen del EEE, del Reino Unido o de México, los protegemos mediante al menos uno de los siguientes mecanismos:

• una decisión de adecuación que cubra el país de destino;
• las Cláusulas Contractuales Tipo de la Comisión Europea, o el Addendum de Transferencia Internacional del Reino Unido, junto con una evaluación de impacto de la transferencia;
• compromisos contractuales vinculantes que obliguen al destinatario a aplicar protecciones equivalentes a las de este aviso, según lo permite la LFPDPPP;
• tu consentimiento expreso, cuando no exista otro mecanismo disponible y la transferencia no sea rutinaria.

Los clientes con requisitos de residencia de datos pueden solicitar que su instancia de Nova y su telemetría de seguridad permanezcan en una región específica. Solicítalo por el formulario de soporte antes del onboarding.

09 Plazos de conservación

Conservamos los datos personales solo durante el tiempo que la finalidad lo requiera; después los eliminamos o los anonimizamos de forma irreversible.

Podemos conservar datos más allá de estos plazos cuando sea necesario para ejercer o defender acciones legales, o para cumplir una orden de preservación. Los respaldos se rotan de forma continua; los datos eliminados de producción desaparecen de los respaldos en un máximo de 90 días.

10 Cómo protegemos tus datos

La seguridad es nuestro negocio, y exigimos a nuestro propio entorno el estándar que entregamos a los clientes. Nuestros controles incluyen:

• cifrado en tránsito (TLS 1.2 o superior) y en reposo;
• arquitectura zero-trust con mínimo privilegio, control de acceso basado en roles y doble factor obligatorio;
• aislamiento lógico entre inquilinos en Nova, de modo que ningún cliente pueda alcanzar los datos de otro;
• bitácoras de auditoría inmutables de acciones administrativas y de respuesta;
• monitoreo 24x7, playbooks documentados de respuesta a incidentes y ejercicios periódicos de mesa;
• gestión de vulnerabilidades, desarrollo seguro y pruebas de penetración independientes;
• verificación de antecedentes, obligaciones de confidencialidad y capacitación anual en seguridad para el personal;
• revisión formal de seguridad de proveedores antes de que cualquiera trate datos personales.

11 Tus derechos ARCO (México)

Si te encuentras en México, o tus datos se tratan conforme a la legislación mexicana, cuentas con los derechos ARCO:

Acceso

Conocer qué datos personales tenemos sobre ti y en qué términos los usamos.

Rectificación

Corregir datos inexactos, incompletos o desactualizados.

Cancelación

Que tus datos sean bloqueados y posteriormente suprimidos, cuando ninguna disposición legal nos obligue a conservarlos.

Oposición

Oponerte al tratamiento por una causa legítima, o pedirnos que dejemos de usar tus datos para una finalidad concreta.

También puedes revocar tu consentimiento y limitar el uso o divulgación de tus datos en cualquier momento.

Cómo presentar una solicitud

1. Envía nuestro formulario de solicitudes de privacidad, que se abre con el tema "Privacidad o derechos de datos" ya seleccionado, e indica "Solicitud de Derechos ARCO".
2. Incluye tu nombre completo, un domicilio o correo para responderte y copia de tu identificación oficial (o carta poder si actúas por cuenta de otra persona).
3. Señala con claridad qué derecho ejerces y sobre qué datos personales.
4. Adjunta cualquier documento que nos ayude a localizar los datos, si lo tienes.

Comunicaremos la determinación adoptada dentro de los 20 días hábiles siguientes a la recepción de una solicitud completa. Cuando la complejidad de la solicitud lo justifique, ese plazo podrá ampliarse por una sola vez y por un periodo igual, informándote el motivo antes de que venza el plazo original. Si resulta procedente, la haremos efectiva dentro de los 15 días hábiles posteriores a esa comunicación. El ejercicio de los derechos ARCO es gratuito; solo podremos cobrar gastos justificados de envío o de reproducción certificada.

Si no quedas conforme con nuestra respuesta, puedes presentar una queja ante la Secretaría Anticorrupción y Buen Gobierno, que asumió las funciones de supervisión, regulación y sanción en materia de protección de datos personales que antes correspondían al INAI.

12 Tus derechos en el EEE, Reino Unido y Suiza

Si te aplica el RGPD o el RGPD del Reino Unido, tienes derecho a:

• acceder a tus datos personales y obtener una copia;
• rectificar datos inexactos o incompletos;
• suprimir tus datos ("derecho al olvido") cuando se cumplan las condiciones del artículo 17;
• limitar el tratamiento mientras se resuelve una controversia sobre exactitud o interés legítimo;
• portabilidad — recibir los datos que nos proporcionaste en un formato estructurado y de lectura mecánica, y que se transmitan a otro responsable;
• oponerte al tratamiento basado en interés legítimo, y a la mercadotecnia directa en cualquier momento y sin necesidad de justificación;
• retirar tu consentimiento cuando quieras, sin afectar el tratamiento ya realizado;
• no ser objeto de una decisión basada únicamente en tratamiento automatizado que produzca efectos jurídicos o similarmente significativos.

Envía nuestro formulario de solicitudes de privacidad. Respondemos dentro de 30 días, prorrogables por dos meses adicionales en solicitudes complejas, en cuyo caso te explicaremos el motivo durante el primer mes. Podemos pedirte que acredites tu identidad antes de actuar.

Puedes presentar una reclamación ante tu autoridad de control local — en el Reino Unido, la Information Commissioner's Office. Agradeceremos la oportunidad de atender tu inquietud primero.

13 Tus derechos en California

La California Consumer Privacy Act, reformada por la CPRA, otorga a los residentes de California el derecho a conocer, eliminar, corregir, oponerse a la venta o intercambio de sus datos, limitar el uso de información personal sensible y no sufrir discriminación por ejercer cualquiera de estos derechos.

Nuestras declaraciones

• No hemos vendido información personal en los doce meses anteriores.
• No hemos compartido información personal para publicidad conductual entre contextos en los doce meses anteriores.
• No usamos ni divulgamos información personal sensible más allá de las finalidades permitidas sin derecho de limitación conforme al §7027 del reglamento de la CCPA.
• No hemos vendido ni compartido conscientemente información personal de consumidores menores de 16 años.

Las categorías recabadas, las finalidades de cada una, los tipos de destinatarios y los plazos de conservación se detallan en las secciones Datos personales que recabamos, Finalidades del tratamiento, Con quién compartimos datos y Plazos de conservación, que en conjunto satisfacen el requisito de aviso al momento de la recolección de la CCPA.

Para ejercer un derecho, envía nuestro formulario de solicitudes de privacidad e indica "California Privacy Request". Confirmamos la recepción en 10 días hábiles y respondemos dentro de 45 días, prorrogables una vez por 45 días adicionales previo aviso. Un agente autorizado puede actuar por ti presentando prueba escrita de su autorización. Verificamos las solicitudes cotejando los datos que nos proporcionas con nuestros registros y podemos pedir confirmación adicional en solicitudes sensibles.

14 Menores de edad

Nuestros servicios son entre empresas y no están dirigidos a menores. No recabamos conscientemente datos personales de personas menores de 18 años, o de 13 años en las jurisdicciones donde ese sea el umbral aplicable. Si crees que un menor nos ha proporcionado datos personales, avísanos por nuestro formulario de solicitudes de privacidad y los eliminaremos de inmediato.

15 Cambios a este aviso

Revisamos este aviso al menos una vez al año y siempre que nuestro tratamiento cambie de forma sustancial. Las fechas de entrada en vigor y de última actualización aparecen al inicio de esta página.

Cuando un cambio añada o modifique una finalidad del tratamiento de tus datos personales, la ley mexicana exige tu consentimiento antes de que esa nueva finalidad surta efectos. Te lo notificaremos por correo electrónico, o mediante un aviso destacado en este sitio, y te daremos una oportunidad real de oponerte antes de que el cambio te aplique. El uso continuado del sitio tras un cambio no sustancial — por ejemplo una aclaración o la corrección de un dato de contacto — constituye reconocimiento del aviso actualizado.

Conservamos las versiones anteriores y te proporcionaremos una si la solicitas.

16 Contacto y quejas

Para cualquier duda sobre este aviso, para ejercer tus derechos o para plantear una inquietud sobre el manejo de datos personales:

Buscamos acusar recibo de toda consulta de privacidad dentro de dos días hábiles. Si lo que deseas reportar es una posible vulnerabilidad de seguridad y no un asunto de privacidad, utiliza nuestro proceso de divulgación responsable.