1. Responsable del tratamiento
Titular: Antonio Cebreiro Bernárdez (ACBSEC)
NIF: 35589647E
Domicilio: Lugar O Covelo 14, 36892 Ponteareas (Pontevedra), España
Email de contacto: [email protected]
Sitio web: https://acbsec.com
2. Qué datos trato y con qué finalidad
Trato los datos que tú me facilitas voluntariamente al ponerte en contacto conmigo, los de clientes, proveedores y personas de contacto cuando hay un encargo y, además, los datos técnicos que genera necesariamente tu visita para que el sitio funcione y esté protegido. No utilizo esos datos para elaborar estadísticas de uso ni para medir descargas, clics, recorridos de navegación o interacciones con las herramientas. En ningún caso elaboro perfiles ni tomo decisiones automatizadas sobre ti.
| Tratamiento | Datos | Finalidad |
|---|---|---|
| Formulario de contacto | Nombre, email, contenido del mensaje y, si la indicas, empresa | Responder a tu consulta y, si me pides una propuesta, prepararla |
| Comunicación por email | Los datos que incluyas en tu correo | Responderte y mantener la relación comercial o profesional |
| Solicitud de plantillas | Recurso e idioma solicitados, fecha de la solicitud, tu elección sobre el contacto comercial y, solo si lo autorizas, tu email | Atender la solicitud y, solo si lo autorizas, contactarte por email sobre mis servicios (detalle) |
| Clientes, proveedores y personas de contacto | Datos identificativos, de contacto y de puesto; datos fiscales y bancarios necesarios para facturar, cobrar o pagar | Preparar propuestas, ejecutar y gestionar el encargo, facturar, cobrar y hacer el seguimiento comercial (detalle) |
| Seguridad y entrega del sitio web | Dirección IP, navegador y dispositivo, página solicitada y de procedencia, fecha y hora, resultado de la petición y señales técnicas de la conexión | Entregar la web, protegerla frente a ataques y abusos, incluido el bloqueo temporal de direcciones IP con comportamiento abusivo, y mantener su disponibilidad |
Cómo funcionan los formularios
Los formularios de contacto y de solicitud de plantillas utilizan dos servicios distintos de Cloudflare:
- Turnstile comprueba que quien envía el formulario no es un programa automatizado. Se carga con el formulario de la página de inicio o cuando abres o utilizas otro formulario, y analiza señales técnicas de tu navegador y tu conexión. No lee lo que escribes en los campos: genera un código de verificación que el formulario envía junto con tus datos.
- Un Worker, un pequeño programa que ejecuto en Cloudflare Workers, recibe los datos del formulario cifrados, comprueba el código de verificación con Cloudflare junto con tu dirección IP y, si la petición es legítima, envía el mensaje a mi buzón de Proton Mail por su servicio de envío autenticado (SMTP), con la conexión cifrada. No guarda el contenido en una base de datos ni lo escribe en sus registros técnicos, que solo recogen datos de la petición, como la ruta, la hora, el resultado y datos de la conexión.
Campos obligatorios: en el formulario de contacto son obligatorios el nombre, el email y el mensaje; la empresa es opcional. Sin ellos el formulario no se envía y no puedo responderte; si lo prefieres, puedes escribirme a [email protected]. En la solicitud de plantillas, la casilla de contacto comercial es opcional y el email solo es obligatorio si la marcas, porque sin él no puedo contactarte.
Solicitudes de recursos y contacto comercial opcional
Hay dos recursos descargables: la plantilla de política de IA y la guía «IA en selección de personal», elaborada junto con Usoarit. Ambos funcionan igual. El responsable del tratamiento de las solicitudes es únicamente Antonio Cebreiro Bernárdez (ACBSEC). Usoarit es coautora del contenido de la guía, pero no recibe los datos de las solicitudes ni te contactará por ellas.
En la guía «IA en selección de personal» el formulario recoge, además, el nombre de tu empresa y tu respuesta a una pregunta sobre si estás evaluando una herramienta de IA para selección. Ambos campos son opcionales, viajan en la misma notificación y no se utilizan para elaborar perfiles.
Para descargar cualquiera de los dos recursos no necesitas facilitar tu email. Cuando lo solicitas, el Worker recibe el recurso y el idioma solicitados y tu elección sobre el contacto comercial, y me envía una notificación con la fecha de la solicitud. El archivo se descarga directamente en tu navegador; no te lo envío por correo.
Si marcas la casilla comercial, autorizas que Antonio Cebreiro Bernárdez (ACBSEC) te contacte por email sobre sus servicios de gobernanza de IA y ciberseguridad. En ese caso el email es obligatorio y lo trato sobre la base de ese consentimiento (art. 6.1.a RGPD), que es opcional, revocable y no condiciona la descarga. Si no marcas la casilla, el formulario no envía tu email aunque lo hayas escrito.
Turnstile comprueba la petición y el Worker la procesa como se explica en el apartado anterior. El Worker envía a mi buzón de Proton Mail una notificación con la solicitud, la opción elegida, tu email si has autorizado el contacto, la fecha del servidor y la versión y el texto de la información mostrada. La descarga se habilita después de que Proton Mail acepte la notificación; no se mide si guardas o utilizas el documento. El Worker no crea una base de datos de solicitantes.
Los plazos de conservación, incluida la prueba del consentimiento, figuran en el apartado 3. Puedes retirar el consentimiento y ejercer tus derechos escribiendo a [email protected]; las comunicaciones comerciales incluirán esa posibilidad.
Versiones de la información de los formularios: ai-policy-2026-09-21-v3 (plantilla de política de IA) y ia-seleccion-2026-09-24-v1 (guía de IA en selección de personal).
Herramienta de SPF, DKIM y DMARC
La herramienta de seguridad del correo funciona en tu navegador. Para diagnosticar un dominio tiene que leer su DNS público, y para eso tu navegador pregunta directamente al resolvedor DNS sobre HTTPS de Cloudflare (1.1.1.1, en cloudflare-dns.com). Esas peticiones no pasan por mis servidores y solo contienen los nombres que se consultan, como _dmarc.tudominio.es o selector1._domainkey.tudominio.es. Como en cualquier conexión, Cloudflare recibe también tu dirección IP y datos técnicos del navegador.
Cloudflare presta ese resolvedor público con su propia política de privacidad del resolvedor 1.1.1.1, no como encargado mío. En ella se compromete a no vender ni compartir esos datos, a no usarlos para publicidad y a borrar en 25 horas los registros de las consultas, y somete ese compromiso a una auditoría externa. Su red es mundial, así que la consulta puede atenderse fuera del EEE.
Otras dos acciones solo ocurren si las pides con su botón:
- Vista previa del logotipo BIMI: tu navegador descarga la imagen de la dirección que publica el dominio analizado, sin indicar desde qué página se pide. El servidor que la aloja recibe tu dirección IP, como con cualquier imagen.
- Nombres de las IP de un informe DMARC: las direcciones IP del informe viajan al mismo resolvedor de Cloudflare como consultas inversas (PTR).
Las cabeceras que pegas y los informes DMARC que abres se procesan solo en tu equipo y no se envían a mi servidor ni a terceros. La herramienta no usa cookies ni guarda lo que analizas. Si abres o compartes un enlace que lleva el dominio en la dirección (?d=), esa dirección llega a mi servidor como cualquier otra página solicitada y queda en sus registros técnicos durante el plazo del apartado 3.
Clientes, proveedores y personas de contacto
Si tú o tu organización contratáis mis servicios o me prestáis los vuestros, trato tus datos identificativos y de contacto, y los de las personas que intervienen en el encargo (firmantes e interlocutores), para preparar propuestas, ejecutar y gestionar el encargo, facturar, cobrar y pagar. La base jurídica depende de si contratas en tu propio nombre o actúas por cuenta de una organización; la tabla del apartado 3 las distingue.
Origen de los datos: si no me los facilitas tú, me los comunica tu organización al pedir la propuesta, firmar el contrato o designarte como interlocutor. En ese caso se limitan a datos identificativos, de contacto profesional y de tu puesto o función.
Facturación y CRM: llevo la facturación y la relación con mis clientes y proveedores (CRM) en Holded, una plataforma en la nube de Holded Technologies, S.L. (España). En ella se registran las facturas emitidas y recibidas, con los datos fiscales y bancarios necesarios para facturar, cobrar y pagar, y los datos identificativos y de contacto de clientes, proveedores y sus personas de contacto. No guardo allí a quienes solo me consultan o me piden una propuesta. Holded trata esos datos por mi cuenta, como encargado del tratamiento (apartado 5).
Destinatarios: pueden comunicarse a la Agencia Tributaria y a otras administraciones cuando la ley lo exija, a entidades bancarias para gestionar cobros y pagos y, en su caso, a juzgados y tribunales.
Datos a los que accedo durante el encargo: cuando, para prestar el servicio, accedo a datos personales de los que tu organización es responsable (por ejemplo, cuentas de usuario, registros o correos durante una auditoría), actúo como encargado del tratamiento. Esos datos se rigen por el contrato de encargo firmado con tu organización conforme al art. 28 RGPD, y no por esta política. Los derechos sobre ellos se ejercen ante tu organización.
3. Base jurídica y plazos de conservación
Cada finalidad se apoya en una sola base jurídica. Al terminar el plazo indicado, suprimo los datos o, si debo conservarlos por posibles responsabilidades, los bloqueo como explico en el apartado 4.
| Finalidad | Base jurídica | Conservación |
|---|---|---|
| Responder a consultas generales, por el formulario o por email | Tu consentimiento, que prestas al enviarme la consulta tras recibir esta información (art. 6.1.a RGPD). Puedes retirarlo en cualquier momento. | El tiempo necesario para atenderla. Si no da lugar a una relación profesional, un máximo de un año. |
| Preparar una propuesta o presupuesto que me pides en tu propio nombre | Aplicación de medidas precontractuales a petición tuya (art. 6.1.b RGPD). | Si no contratas, un máximo de un año. Si contratas, se aplica la fila siguiente. |
| Ejecutar el contrato con clientes y proveedores que contratan en su propio nombre, por ejemplo como autónomos | Ejecución del contrato (art. 6.1.b RGPD). | Mientras dure el contrato. Después, bloqueados durante los plazos de prescripción de las acciones derivadas de él. |
| Mantener el contacto profesional con quienes actúan en nombre de una organización cliente, proveedora o que me pide una propuesta | Interés legítimo (art. 6.1.f RGPD y art. 19 LOPDGDD). Solo trato los datos necesarios para localizarte profesionalmente. | Mientras dure la relación con tu organización y sigas siendo su interlocutor, salvo que te opongas. Después, bloqueados durante los plazos de prescripción aplicables. |
| Cumplir las obligaciones fiscales y contables: facturas, libros y justificantes | Obligación legal (art. 6.1.c RGPD). | Los plazos que fija la normativa: con carácter general, cuatro años en materia tributaria (arts. 66 y 70 de la Ley General Tributaria) y seis años para la documentación mercantil (art. 30 del Código de Comercio), cuando resulte aplicable. |
| Enviarte comunicaciones comerciales por email | Tu consentimiento separado y opcional (art. 6.1.a RGPD y art. 21 de la Ley 34/2002, LSSI). | Hasta que lo retires o pase un año sin interacción; entonces dejo de usarlo con fines comerciales. |
| Acreditar que obtuve tu consentimiento o que lo retiraste | Obligación de poder demostrar el consentimiento (art. 7.1 RGPD, en relación con el art. 6.1.c). | Solo la prueba mínima (fecha, email, versión y texto mostrados, elección y, en su caso, retirada), con acceso restringido, mientras uses la autorización y hasta tres años después, el plazo máximo de prescripción de las infracciones (art. 72 LOPDGDD y art. 45 LSSI). |
| Entregar la web y protegerla frente a ataques y abusos | Interés legítimo en la seguridad de las redes y de la información (art. 6.1.f RGPD y considerando 49). | Registros del servidor web: hasta 15 días, porque se renuevan a diario y se guardan 14 copias. Bloqueos de direcciones IP: entre una hora y un día, y pueden prolongarse si el comportamiento se repite. Registros del Worker: como máximo 7 días, según la documentación de Cloudflare Workers Logs. |
Los datos que Cloudflare trata como responsable para mejorar Turnstile no dependen de mí y se rigen por sus propios plazos (apartado 5).
4. Uso, conservación, bloqueo y supresión
- Uso ordinario: trato los datos para la finalidad correspondiente mientras la ampare su base jurídica y dure el plazo indicado en la tabla.
- Conservación por obligación legal: cuando una ley me obliga a conservar datos, como en materia fiscal y contable, guardo solo los necesarios y solo para cumplirla.
- Bloqueo: cuando procede suprimir o rectificar datos que todavía pueden ser necesarios para determinar posibles responsabilidades, los bloqueo conforme al art. 32 LOPDGDD. Los identifico y reservo para impedir su tratamiento, incluida su consulta, y solo los pongo a disposición de jueces y tribunales, del Ministerio Fiscal o de las administraciones públicas competentes, en particular las autoridades de protección de datos, durante el plazo de prescripción de esas responsabilidades.
- Destrucción: transcurrido ese plazo, elimino los datos definitivamente.
Las consultas, las solicitudes y la documentación de los encargos se guardan en mi buzón de Proton Mail y en Proton Drive; las facturas y los datos de clientes y proveedores, en Holded. No utilizo un sistema de borrado automático: reviso y aplico estos plazos manualmente. Tras un borrado, Proton conserva copias de seguridad cifradas durante un máximo de 30 días, según sus políticas de privacidad de Mail y Drive, y Holded puede mantener durante un tiempo limitado copias recuperables o de seguridad, según las condiciones de su servicio. Al terminar el servicio con Holded, este puede conservar los datos hasta 18 meses desde la cancelación, según su acuerdo de tratamiento.
5. A quién comunico tus datos
No vendo ni cedo tus datos a terceros con fines comerciales. Solo los comunico a la Agencia Tributaria y a otras administraciones cuando la ley lo exige, a entidades bancarias para gestionar cobros y pagos y, en su caso, a juzgados y tribunales.
Además, estos proveedores tratan datos por mi cuenta, como encargados del tratamiento (art. 28 RGPD), para prestarme sus servicios:
- Alojamiento web: OVH SAS (Francia), que aloja el servidor de la web y sus registros técnicos.
- Entrega web, procesamiento de formularios y protección frente a abusos: Cloudflare, Inc. (Estados Unidos). Todo el tráfico de acbsec.com pasa por su red. Cloudflare distribuye el contenido, filtra el tráfico malicioso, aplica los bloqueos temporales de direcciones IP, ejecuta el Worker que recibe y procesa los formularios y presta el servicio Turnstile.
- Correo electrónico, archivos y videollamadas: Proton AG (Suiza), mediante Proton Mail, que recibe del Worker el mensaje validado y lo guarda en mi buzón, Proton Drive, donde guardo la documentación de los encargos, y Proton Meet, que uso para las reuniones por videollamada.
- Facturación y CRM: Holded Technologies, S.L. (España), mediante la plataforma Holded, que guarda las facturas y los datos de mis clientes y proveedores.
Cada proveedor tiene un acuerdo de tratamiento de datos que regula su servicio. Los de Cloudflare, Proton y OVHcloud son públicos; el de Proton forma parte de sus términos y remite a la lista de subencargados que publica en su política de privacidad. El de Holded forma parte de sus términos y condiciones, sus clientes lo consultan en la propia plataforma y remite a una lista pública de subencargados en el Trust Centre de Visma, el grupo al que pertenece Holded.
Cloudflare Turnstile: dos papeles distintos
Según su aviso de privacidad de Turnstile, Cloudflare trata señales técnicas como tu dirección IP, la huella TLS de la conexión, el agente de usuario del navegador, la clave del sitio y el origen de la página. Lo hace con dos papeles:
- Como encargado, por mi cuenta: usa esas señales para distinguir personas de programas automatizados y proteger esta web. La base jurídica es mi interés legítimo en la seguridad de la web (art. 6.1.f RGPD). Los derechos sobre este tratamiento se ejercen ante mí, en [email protected].
- Como responsable, por su cuenta: usa las mismas señales para mejorar la detección de bots de Turnstile, sobre la base de su propio interés legítimo. Yo no decido sobre ese tratamiento. Para ejercer tus derechos o plantear dudas, puedes contactar con su delegado de protección de datos en [email protected].
Turnstile no recibe el contenido de los campos del formulario. Ese contenido lo recibe y procesa el Worker, que Cloudflare ejecuta como encargado por mi cuenta.
Transferencias internacionales
- OVH: el servidor que aloja la web está en la Unión Europea. El contrato de tratamiento de OVHcloud regula la posible intervención de sus filiales o subencargados situados fuera del Espacio Económico Europeo (EEE).
- Cloudflare: su red es mundial. Cada petición se atiende normalmente en un centro de datos próximo al visitante, pero Cloudflare no garantiza que el tratamiento se limite al EEE, por lo que puede haber transferencias, en particular a Estados Unidos. Cloudflare, Inc. figura en la lista de entidades adheridas al Marco de Privacidad de Datos UE-EE. UU., objeto de la decisión de adecuación de la Comisión Europea, y su acuerdo de tratamiento prevé las cláusulas contractuales tipo para las transferencias que ese marco no cubra.
- Proton: Proton AG está establecida en Suiza, un país que cuenta con una decisión de adecuación de la Comisión Europea (Decisión 2000/518/CE), confirmada en su revisión de enero de 2024. Según sus políticas de privacidad, Proton guarda los datos de Mail y Drive en servidores situados exclusivamente en Suiza, Alemania o Noruega. Proton Meet cifra de extremo a extremo el audio, el vídeo y el chat de las reuniones, y sus servidores se limitan a reenviar esos datos cifrados; Proton indica que esos servidores forman una red distribuida por centros de datos de varios países, por lo que los datos de conexión de una videollamada pueden tratarse fuera del EEE. Para las transferencias a países sin decisión de adecuación, su acuerdo de tratamiento prevé las cláusulas contractuales tipo.
- Holded: Holded Technologies, S.L. está establecida en España. Su Trust Centre público indica que el alojamiento está en la UE y el EEE, con Google Cloud (Bélgica), MongoDB y Amazon Web Services. Para las transferencias fuera del EEE, su acuerdo de tratamiento exige cumplir el capítulo V del RGPD y prevé las cláusulas contractuales tipo de la Comisión Europea para las de sus subencargados.
Puedes consultar estas garantías en los enlaces anteriores o pedirme una copia en [email protected]. El tratamiento que Cloudflare realiza como responsable para mejorar Turnstile, incluidas sus transferencias, se rige por su propia política de privacidad. No realizo otras transferencias internacionales.
6. Tus derechos
Puedes ejercer en cualquier momento y de forma gratuita tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento prestado sin que ello afecte a la licitud del tratamiento anterior. Cuando el tratamiento se basa en mi interés legítimo, puedes oponerte por motivos relacionados con tu situación particular.
Para ello escríbeme a [email protected] indicando el derecho que deseas ejercer. Responderé en el plazo máximo de un mes. Para el tratamiento que Cloudflare realiza como responsable con Turnstile, dirígete a [email protected].
Si consideras que no he atendido correctamente tu solicitud, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es), C/ Jorge Juan 6, 28001 Madrid.
7. Seguridad de la información
Como profesional de la ciberseguridad, aplico medidas técnicas y organizativas apropiadas al riesgo para proteger tus datos frente a accesos no autorizados, pérdida o alteración, conforme al art. 32 RGPD.
8. Menores de edad
Los servicios de esta web se dirigen exclusivamente a profesionales y empresas. No recojo de forma consciente datos de menores de 14 años.
9. Cambios en esta política
Puedo actualizar esta política para adaptarla a cambios legislativos o en los servicios prestados. La versión vigente será siempre la publicada en esta página, con su fecha de actualización.