Condiciones de tratamiento de datos

Este es un borrador de las condiciones del encargado previstas en el artículo 28, para que los socios piloto y sus asesores identifiquen el tratamiento y las cuestiones pendientes.

No es un acuerdo firmado y no se formaliza por leerlo ni por aceptar las condiciones de servicio. Un asesor jurídico aún no ha confirmado la firma, la fecha de efecto ni la relación con contratos negociados. La aceptación individual de privacidad no sustituye la firma de la organización.

Tu organización es responsable de los datos personales presentes en las entradas y contenidos que conecta; KROMSE es encargado. Para los datos de cuenta, KROMSE actúa como responsable conforme a la política de privacidad.

Una política de tratamiento de IA independiente (Proveedores configurados / Solo UE / Solo determinista) se aplica además de la opción de datos de IA. Ambas opciones deben permitir cada solicitud de IA. Solo UE y Solo determinista bloquean actualmente toda IA de clientes, sin proveedor de respaldo: no hay ningún endpoint de IA de la UE aprobado. Un análisis solo determinista nunca envía código fuente del repositorio ni fragmentos a la IA; el chat y las valoraciones pueden usar sus metadatos de hallazgos, también al adjuntar análisis o hallazgos. Desactivada bloquea nuevas solicitudes. Las valoraciones guardadas siguen visibles con el modelo y la fecha registrados.

KROMSE analiza repositorios, SBOM, firmware y contenedores, conserva pruebas y ofrece flujos de gestión. Realiza consultas externas de vulnerabilidades con identificadores y componentes. La IA procesa la revisión opcional de código, mensajes de chat y valoraciones de hallazgos. El modo del espacio es Solo metadatos por defecto: chat y valoraciones pueden transmitir rutas y líneas, sin fragmentos automáticos ni herramientas para leer repositorios. El modo Fragmentos de código permite lecturas acotadas para funciones aptas; las valoraciones Free nunca listan ni leen archivos. Desactivada bloquea nuevas solicitudes de IA. Los análisis solo deterministas bloquean código fuente y fragmentos; el chat y las valoraciones pueden usar metadatos de hallazgos. Las valoraciones guardadas siguen visibles con el modelo y la fecha registrados. Los mensajes del usuario pueden incluir código incluso en Solo metadatos. Los documentos de texto y Office admitidos se extraen dentro de KROMSE; el OCR externo y la lectura de PDF e imágenes están desactivados.

Copias temporales, firmware, pruebas y registros tienen ciclos distintos detallados en la política de privacidad. No se establece aquí una fecha fija de borrado al cerrar la cuenta.

Las entradas pueden incluir nombres y correos de autores, archivos, comentarios, configuración, datos de prueba y otros datos de personal, clientes y usuarios finales. También se tratan pruebas que citan código, documentos de configuración, mensajes, productos, casos, informes y cuentas del equipo. Tu organización determina el contenido conectado.

Un asesor jurídico aún no ha confirmado si pueden tratarse categorías especiales de datos ni en qué condiciones. No existe una garantía técnica de impedir su presencia en los repositorios.

Conectar una fuente, subir entradas admitidas, iniciar un análisis, seleccionar revisión de código, escribir al asistente o solicitar una valoración instruye el tratamiento correspondiente. La política de privacidad detalla sus transferencias. KROMSE no vende esos datos ni utiliza código o contenido del espacio para entrenar modelos propios.

El acceso autorizado está sujeto a confidencialidad. Este documento aún no detalla la forma de esa obligación (contratos laborales o de colaboración) y no asume compromisos de verificación de antecedentes ni de formación.

El sistema aplica filtrado por organización, permisos en el servidor, objetos privados con cifrado y hash verificados, limitación de archivos y extracción protegida, auditoría encadenada con SHA-256 y contenedores de análisis sin root. Los archivos con secretos detectados se excluyen de la selección de revisión opcional y se ocultan coincidencias con patrones de secretos; no es una garantía de eliminar toda información sensible de cualquier función de IA. Las copias temporales se limpian al terminar o gestionar fallos, pero una parada forzada puede dejar restos. No hay garantía verificada de cifrado en reposo del disco temporal de Hetzner.

En el servidor de base de datos de Hetzner, el volumen que contiene la base de datos PostgreSQL está cifrado en reposo; la API y los procesos de análisis están configurados para conectarse por la red privada con TLS y verificación de certificados, y las copias de seguridad de la base de datos se cifran antes de almacenarse. Esto describe la configuración, no una auditoría independiente.

No hay SOC 2, ISO 27001 ni prueba de penetración independiente.

KROMSE utiliza los siguientes subencargados del tratamiento para la plataforma. La analítica web basada en consentimiento (Google Analytics y Google Ads) se describe en el apartado 3 de la política de privacidad y requiere consentimiento separado según su finalidad.

• Hetzner: alojamiento en Alemania de la aplicación web, la API, el CRM, los procesos de análisis y la base de datos PostgreSQL, con copias de seguridad cifradas de la base de datos. Hetzner trata todos los datos de clientes que gestiona la plataforma. No hay garantía verificada de cifrado en reposo de los discos temporales de análisis.
• Cloudflare R2: pruebas de análisis y firmware subido, mediante el endpoint de jurisdicción UE y selección automática de región; identifica el endpoint configurado, no un país de almacenamiento concreto.
• Clerk: autenticación, sesiones, miembros del espacio de trabajo y correos de invitación. Datos de cuenta: nombre, correo, pertenencia a la organización y rol.
• Stripe: facturación de suscripciones y pagos mediante las páginas alojadas de Stripe. Contacto y dirección de facturación, identificación fiscal y datos de pago se introducen en Stripe; KROMSE aporta el identificador del espacio de trabajo como referencia y no conserva números de tarjeta.
• Google Workspace: correo de la aplicación enviado mediante el servicio de correo de Google (servidor SMTP smtp.gmail.com), incluidos formularios de contacto y avisos operativos configurados (direcciones de remitente y destinatario y contenido del mensaje).
• OpenAI: proveedor de IA de toda función de IA que envía tu contenido (chat, herramientas, búsqueda web, valoraciones, triaje de hallazgos de análisis estático y revisión opcional), según el apartado 5 de la política de privacidad. No hay respaldo Mistral ni OCR externo.
• Anthropic (EE. UU.): figura como subencargado de IA. Hoy ninguna función de KROMSE le envía tu contenido, como describe el apartado 5 de la política de privacidad.
• Mistral AI: figura como subencargado de IA; su endpoint configurado es el endpoint UE de Mistral (api.eu.mistral.ai). Hoy ninguna función de KROMSE le envía tu contenido. El OCR externo de documentos sigue desactivado.
• GitHub, otras fuentes Git conectadas y registros de contenedores: origen de los repositorios e imágenes que seleccionas, con tu autorización.

OpenAI, Anthropic, Clerk, Stripe, Cloudflare, Google y GitHub son proveedores con sede en EE. UU.; la entidad contratante puede variar. Estos proveedores no acreditan un tratamiento exclusivamente en la UE ni un mecanismo de transferencia firmado. Los servicios públicos de datos de vulnerabilidades reciben las consultas descritas en la política de privacidad.

La política de privacidad detalla datos y propósitos. Los roles contractuales, acuerdos y garantías siguen pendientes de revisión. Kromse Labs S.L. comunica cambios manualmente a contactos verificados, registra objeciones en info@kromse.com y acuerda autorizaciones o plazos en el contrato aplicable; no existe aviso previo automático.

Para derechos, corrección, exportación, documentación o evaluación, escribe a info@kromse.com. Kromse Labs S.L. verifica identidad y alcance y coordina datos, canal y fecha objetivo. Las respuestas indican evidencia disponible y lagunas, sin certificar el cumplimiento del cliente.

Comunica sospechas a info@kromse.com sin contraseñas ni datos innecesarios. Kromse Labs S.L. registra, preserva pruebas, evalúa alcance, contiene y sigue la recuperación. Se distinguen hechos confirmados y cuestiones abiertas. Responsables y asesores evalúan las notificaciones aplicables; no se fija aquí un plazo de servicio ni se automatiza esa decisión jurídica.

Un proceso periódico intenta eliminar pruebas caducadas y reintenta fallos; conserva el hash y metadatos. No borra automáticamente hallazgos, auditorías ni copias de base de datos. El firmware sigue almacenado mientras esté activo; archivarlo inicia retención. El borrado amplio es manual, con alcance acordado y controles separados para base de datos, objetos, proveedores, copias y cuentas compartidas. La declaración final indica lo eliminado y lo retenido. No hay borrado autoservicio de todo el espacio ni plazo fijo prometido. Un registro restringido permite reaplicar eliminaciones antes de volver a servir una copia restaurada.

Los derechos de auditoría e inspección (frecuencia, aviso, coste y posibles medios documentales) aún no se han fijado ni los ha confirmado un asesor jurídico. KROMSE no tiene un informe de auditoría para sustituir una inspección.

OpenAI, Anthropic, Clerk, Stripe, Cloudflare, Google y GitHub son proveedores con sede en EE. UU.; la entidad contratante puede variar. No se promete tratamiento exclusivamente en la UE. Un asesor jurídico aún no ha confirmado los mecanismos por proveedor, los acuerdos firmados, las cláusulas contractuales tipo y sus anexos, las decisiones de adecuación ni las evaluaciones de impacto que procedan. Este borrador no acredita que estén formalizados.