Política de privacidad

Última actualización: 25 de octubre de 2026. Esta política también está disponible en inglés; en caso de discrepancia, prevalece la versión en español.

CloudSignLab es un servicio de Megits Intelligence SL. Esta política explica qué datos personales tratamos cuando usas el sitio web y la aplicación de CloudSignLab, para qué los tratamos, durante cuánto tiempo los conservamos y qué derechos tienes. CloudSignLab es un servicio profesional dirigido a organizaciones y profesionales mayores de 18 años.

Responsable del tratamiento

Responsable	Megits Intelligence SL
CIF	B93978385
Domicilio	Calle Alejandro Dumas 17, 29004 Málaga, España
Contacto de privacidad	privacy@cloudsignlab.com

No hemos designado un Delegado de Protección de Datos porque nuestro tratamiento no lo requiere según el artículo 37 del RGPD. Puedes contactarnos para cualquier cuestión de privacidad en la dirección indicada.

Qué datos tratamos y por qué

Tu cuenta

• Datos: nombre, correo electrónico, contraseña (guardada solo como un hash criptográfico irreversible, que nadie puede leer), foto de perfil opcional, idioma y la configuración de doble factor y llaves de acceso.
• Finalidad: crear y gestionar tu cuenta, permitirte iniciar sesión y prestar el servicio.
• Base jurídica: ejecución del contrato contigo o con tu organización (art. 6.1.b RGPD).
• Conservación: mientras exista tu cuenta. Cuando eliminas tu cuenta, se borra de nuestros sistemas activos (salvo lo indicado en "Registros de seguridad").

Organizaciones y miembros del equipo

• Datos: nombre y logotipo de la organización, miembros y sus roles, e invitaciones (correo electrónico y rol de la persona invitada).
• Finalidad: permitir que las organizaciones trabajen juntas y gestionen quién tiene acceso.
• Base jurídica: ejecución del contrato (art. 6.1.b RGPD). Los datos de las personas invitadas se tratan sobre la base del interés legítimo de la organización que invita (art. 6.1.f RGPD).
• Conservación: mientras exista la organización; las invitaciones caducan si no se aceptan.

Registros de seguridad

Para proteger tu cuenta y nuestro servicio, registramos eventos relevantes para la seguridad:

• inicios de sesión (incluido el método utilizado), intentos fallidos de inicio de sesión en cuentas existentes y cierres de sesión;
• cambios de seguridad, como cambios y restablecimientos de contraseña, cambios de doble factor y de llaves de acceso, cambios de correo electrónico y eliminación de la cuenta;
• acciones de gestión del equipo (por ejemplo, invitar o eliminar miembros) y acciones realizadas por nuestros administradores.

Cada registro guarda la fecha y hora, el correo electrónico de la cuenta, la dirección IP y el navegador o dispositivo utilizado. Nunca se registran contraseñas, códigos ni tokens de acceso.

• Finalidad: detectar e investigar accesos no autorizados, abusos y fraudes, y mostrarte tu propia actividad de seguridad reciente en la configuración de tu cuenta.
• Base jurídica: nuestro interés legítimo en mantener seguros el servicio y a sus usuarios (art. 6.1.f RGPD).
• Conservación: hasta 365 días; después se eliminan automáticamente. Se conservan durante este plazo también tras la eliminación de una cuenta, para poder investigar posibles abusos.

También usamos estos eventos para avisarte: ves notificaciones de seguridad en tu cuenta (por ejemplo, un inicio de sesión desde un dispositivo nuevo, varios intentos fallidos o un cambio de contraseña) y te enviamos un correo cuando tu cuenta se usa desde un dispositivo que no habíamos visto recientemente. Las notificaciones guardan el tipo de evento, el dispositivo y la dirección IP, y se eliminan automáticamente a los 90 días.

Correos que te enviamos

• Datos: tu correo electrónico y el contenido del mensaje (por ejemplo, enlaces de verificación, códigos de acceso, restablecimientos de contraseña e invitaciones).
• Finalidad: gestionar tu cuenta de forma segura.
• Base jurídica: ejecución del contrato (art. 6.1.b RGPD).

Lista de correo (noticias y novedades)

• Datos: correo electrónico, idioma, dónde te suscribiste y las fechas de suscripción, confirmación o baja.
• Finalidad: enviarte noticias sobre CloudSignLab.
• Base jurídica: tu consentimiento (art. 6.1.a RGPD). Usamos doble confirmación: solo te añadimos después de que confirmes a través del enlace que te enviamos por correo.
• Conservación: hasta que te des de baja. Cada correo incluye un enlace para darte de baja. Tras la baja conservamos constancia de ella para no volver a contactarte.
• Desde tu cuenta: también puedes pedir las novedades al registrarte (una casilla sin marcar) o en Ajustes -> Notificaciones. La casilla marcada al registrarte solo cuenta cuando has confirmado tu dirección de email. Desactivarla en los ajustes funciona como el enlace para darte de baja. Al eliminar tu cuenta se elimina esta entrada. Los emails sobre tu cuenta y su seguridad no dependen de ella.
• Registros de envío: de cada boletín guardamos a quién se envió y si se entregó, para que nadie reciba el mismo boletín dos veces. De cada boletín puedes darte de baja con un solo clic.

Formulario de contacto

• Datos: nombre, correo electrónico y tu mensaje.
• Finalidad: responder a tu consulta. Los mensajes se envían a nuestro equipo por correo electrónico y no se guardan en la aplicación.
• Base jurídica: nuestro interés legítimo en responder consultas, o la aplicación de medidas precontractuales (art. 6.1.f y 6.1.b RGPD).
• Conservación: hasta dos años después de cerrar la consulta.

Páginas de confianza de las organizaciones

• Datos: cuando pides los documentos en la página de confianza de una organización (cloudsignlab.com/trust/...): tu nombre, correo electrónico, empresa, el motivo que indiques, tu idioma, cuándo aceptaste las condiciones de confidencialidad y qué documentos descargaste y cuándo. No guardamos tu dirección IP con la solicitud.
• Finalidad: que la organización decida sobre tu solicitud, enviarte un enlace personal que funciona 7 días y mostrar a la organización quién descargó sus documentos.
• Quién decide: la organización que gestiona la página de confianza es responsable de estos datos; nosotros los tratamos por su cuenta. Para ejercer tus derechos, contacta con esa organización; nosotros la ayudaremos.
• Conservación: mientras la organización use CloudSignLab; todo se elimina cuando se elimina la organización.

Evaluaciones de proveedores

• Datos: cuando una organización pide a tu empresa responder una evaluación de seguridad, el nombre y el correo de contacto que la organización guardó para tu empresa, tus respuestas y comentarios, y cuándo los abriste y enviaste. No guardamos tu dirección IP con las respuestas.
• Finalidad: enviarte el enlace personal y los recordatorios, y permitir que la organización evalúe a su proveedor y decida.
• Responsable: la organización que envió la evaluación es responsable de estos datos; nosotros los tratamos por cuenta de ella. Dirígete a esa organización para ejercer tus derechos.
• Conservación: mientras la organización conserve la evaluación; todo se elimina cuando se elimina la organización.

Denuncias del canal interno

• Datos: lo que escribes en una denuncia en la página de denuncias de una organización (cloudsignlab.com/report/...), opcionalmente tu nombre o contacto, y los mensajes intercambiados. Los textos se guardan cifrados; no guardamos tu dirección IP (solo se usa brevemente en memoria para limitar abusos). Solo se conserva una huella de tu código de caso.
• Finalidad: que las personas designadas por la organización reciban, sigan y respondan las denuncias, como exige la Directiva europea de protección de informantes (2019/1937).
• Responsable: la organización que gestiona el canal es responsable de las denuncias; nosotros las tratamos por cuenta de ella y no las leemos.
• Conservación: mientras la organización conserve la denuncia; todo se elimina cuando se elimina la organización.

Tickets de soporte

• Datos: tu nombre y cuenta, tu organización, lo que escribes en un ticket y nuestras respuestas, y cuándo se enviaron.
• Finalidad: responder a tus preguntas y problemas en el tiempo de respuesta de tu paquete.
• Base jurídica: ejecución del contrato (art. 6.1.b RGPD).
• Conservación: mientras tu organización use CloudSignLab; después se elimina con ella.

Programa de partners

• Datos: de los partners: la cuenta, la empresa, el código de partner, el porcentaje de comisión y la configuración de marca blanca. De los clientes que introducen un código de partner: que vinieron a través del partner, desde cuándo y su paquete, que el partner ve en su informe de comisiones junto con su nombre.
• Finalidad: gestionar el programa de partners y calcular las comisiones.
• Base jurídica: ejecución del contrato de partner y nuestro interés legítimo en pagar correctamente las comisiones (art. 6.1.b y f RGPD). Introducir un código de partner es tu decisión; no se usa ninguna cookie para ello.

Integraciones elegidas por una organización

Cuando una organización conecta Slack, Microsoft Teams, un webhook o una clave de API, CloudSignLab envía los eventos de esa organización (por ejemplo, "se comunicó un incidente", con un enlace) a la dirección que la organización indicó, o permite que sus sistemas lean sus registros. La organización elige estos destinatarios y es responsable de ellos. Los mensajes de webhook contienen identificadores y enlaces, no datos personales.

Comprobaciones automáticas de cuentas en la nube

Cuando una organización conecta su cuenta de Microsoft 365, Google Workspace o AWS, CloudSignLab lee una vez al día la configuración de seguridad de esa cuenta, solo en modo lectura.

• Datos: el nombre y el dominio de la cuenta; para cada comprobación, su resultado, recuentos y los nombres (nombres de inicio de sesión o direcciones de correo) de hasta 20 personas o cuentas que no la cumplen, por ejemplo usuarios sin autenticación multifactor. En Google, un token de acceso, guardado cifrado; en AWS, el nombre del rol que creó la organización (sin contraseñas ni claves).
• Finalidad: mostrar a la organización si sus medidas de seguridad funcionan y abrir tareas cuando una comprobación falla.
• Función y base jurídica: la organización decide conectar su cuenta y es responsable de ella; tratamos estos datos por su cuenta como encargado del tratamiento (art. 28 RGPD).
• Conservación: los resultados actuales, hasta que se desconecta la cuenta; el historial de resultados (solo recuentos, sin nombres), 90 días. Al desconectar se eliminan los resultados y se revoca al momento el acceso de Google.

Funciones de IA

• Datos: cuando usas el chat de IA, tus mensajes y las respuestas; cuando la IA ayuda con un cuestionario de un cliente, los textos de las preguntas del cliente y los títulos de los controles de nuestra biblioteca. No se envían tus respuestas, archivos ni nombres.
• Finalidad: responder a los mensajes del chat y sugerir qué control responde a una pregunta. Cada sugerencia es un borrador hasta que una persona la acepta.
• Base jurídica: la ejecución de nuestro contrato con tu organización (art. 6.1.b RGPD).
• Proveedores: el proveedor de IA activado en CloudSignLab (Mistral AI, modelos de Mistral en Amazon Bedrock en una región de la UE, OpenAI o Google) trata estos textos para generar la respuesta. Las organizaciones pueden desactivar la IA para los cuestionarios en sus ajustes.

Estadísticas de visitantes y monitorización de errores

Medimos cómo se usan nuestro sitio web y nuestra aplicación con nuestro propio sistema. Los datos se quedan en nuestros servidores de la Unión Europea y no se comparten con ningún proveedor de analítica.

• Todos los visitantes (sin consentimiento): contamos las páginas vistas y los clics en los botones principales del sitio web (qué botón y en qué página): la página, el sitio web del que vienes, las etiquetas de campaña del enlace, tu ubicación aproximada (país, región y ciudad, obtenidos de tu dirección IP, que después se descarta y nunca se guarda), el idioma de tu navegador y el navegador, el sistema y el tipo de dispositivo que indica tu navegador. No se instala ninguna cookie, no se lee nada de tu dispositivo y estos registros no pueden vincularse contigo ni entre sí.
• Solo si aceptas las cookies de medición: además, un identificador de visitante aleatorio en la cookie csl_vid, un identificador de visita en la pestaña de tu navegador, el tamaño de pantalla y la zona horaria, el tiempo en cada página y mediciones de velocidad. Si has iniciado sesión, tus páginas vistas en la aplicación se vinculan a tu cuenta para saber qué funciones se usan. Si tu navegador envía una señal de privacidad (Global Privacy Control o Do Not Track), la tratamos como un rechazo.
• Errores: cuando una página o nuestro servidor falla, registramos el mensaje de error, la página (sin sus parámetros), el navegador y el sistema y, si has iniciado sesión, tu cuenta, para poder corregir el problema. Antes de guardar nada se eliminan direcciones de correo, tokens y claves.
• Resultados de correo: de cada correo que enviamos registramos qué tipo de correo era y si se envió, rebotó o se marcó como spam, nunca la dirección ni el contenido.
• Finalidad: entender cómo se usa el servicio, mantenerlo rápido y funcionando, y corregir errores.
• Base jurídica: nuestro interés legítimo en prestar un servicio seguro y que funcione (art. 6.1.f RGPD) para las páginas vistas sin identificadores, los errores y los resultados de correo; tu consentimiento (art. 6.1.a RGPD) para la cookie de medición y todo lo vinculado a ella. Puedes retirar tu consentimiento en cualquier momento desde "Configuración de cookies" en el pie de página.
• Conservación: registros detallados durante 90 días; después solo totales diarios sin ningún identificador, durante un máximo de 2 años. Los registros vinculados a tu cuenta se eliminan cuando eliminas tu cuenta.
• Ubicación: IP Geolocation by DB-IP, consultada en nuestros propios servidores.

Pagos

• Datos: datos de facturación e información de pago. Los datos de la tarjeta se introducen directamente en nuestro proveedor de pagos, Stripe; nunca vemos ni guardamos números de tarjeta completos.
• Finalidad: gestionar suscripciones y pagos.
• Base jurídica: ejecución del contrato (art. 6.1.b RGPD) y cumplimiento de obligaciones legales (art. 6.1.c RGPD).
• Conservación: las facturas y los registros contables se conservan seis años, según exige la normativa mercantil española.

Datos del servidor y copias de seguridad

Nuestros servidores guardan registros técnicos de las peticiones (dirección IP, hora, dirección solicitada) durante un periodo breve y rotativo para operar y proteger el servicio. Las copias de seguridad de la base de datos las conserva de forma rotativa Amazon Web Services en la Unión Europea para la recuperación ante desastres y se eliminan automáticamente como máximo a los 35 días.

Con quién compartimos los datos

No vendemos tus datos personales. Solo los compartimos con proveedores que los tratan por nuestra cuenta, con contratos de encargo del tratamiento:

Proveedor	Finalidad	Ubicación
Amazon Web Services (AWS)	Alojamiento de la aplicación y su base de datos, almacenamiento de archivos, envío de correos y copias de seguridad	Unión Europea (Fráncfort, Alemania)
Stripe	Procesamiento de pagos, facturas y cálculo del IVA (dirección de facturación y NIF-IVA)	Unión Europea / ver abajo
Proveedores de IA (Mistral AI, Amazon Bedrock, OpenAI, Google)	Chat de IA y sugerencias en cuestionarios, solo con la IA activada	Unión Europea (Mistral AI, región UE de Amazon Bedrock) / EE. UU. (OpenAI, Google), ver abajo

También podemos comunicar datos cuando lo exija la ley o una autoridad competente.

Dónde se guardan tus datos

Nuestra aplicación, su base de datos, los archivos, el envío de correos y las copias de seguridad funcionan en Amazon Web Services en la Unión Europea, en la región de Fráncfort, Alemania (eu-central-1). Algunos proveedores (por ejemplo, Stripe o el personal de soporte de nuestros proveedores) pueden tratar datos fuera del Espacio Económico Europeo; en ese caso, la transferencia está protegida por las Cláusulas Contractuales Tipo de la Comisión Europea o por el Marco de Privacidad de Datos UE-EE. UU.

Cómo protegemos tus datos

Usamos conexiones cifradas (HTTPS), guardamos las contraseñas solo como hashes seguros, ofrecemos doble factor y llaves de acceso, limitamos el acceso interno a lo que necesita cada rol, mantenemos privados los archivos subidos (salvo las fotos de perfil) y registramos las acciones administrativas en un registro de auditoría.

Tus derechos

Puedes solicitarnos:

• una copia de tus datos personales (acceso);
• la corrección de datos inexactos (rectificación);
• la eliminación de tus datos (supresión);
• la limitación u oposición a determinados tratamientos;
• tus datos en un formato portable (portabilidad);
• la retirada, en cualquier momento, de cualquier consentimiento que hayas dado, sin que ello afecte al tratamiento anterior.

Escríbenos a privacy@cloudsignlab.com. Responderemos en el plazo de un mes. Podemos pedirte que confirmes tu identidad antes de atender una solicitud.

Si consideras que no hemos tratado tus datos correctamente, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (aepd.es).

Decisiones automatizadas

No tomamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre ti o te afecten de forma similar.

Cambios en esta política

Podemos actualizar esta política cuando cambie nuestro servicio o la ley. Publicaremos la nueva versión en esta página con una nueva fecha y, en caso de cambios importantes, lo comunicaremos por correo electrónico a los titulares de cuentas.