Legal

Política de privacidad

Versión 1.4 · Última actualización: 31 de octubre de 2026

Esta política explica qué datos personales recoge HackGrade, para qué, quién los recibe, cuánto tiempo los conservamos y cuáles son tus derechos. Cubre el sitio web hackgrade.com, tu cuenta de HackGrade, nuestros análisis e informes, el chat de soporte y nuestros correos. Está redactada para cumplir la Ley de Protección de la Privacidad de Israel de 1981 (modificada por la Enmienda 13), el RGPD de la UE y del Reino Unido y la Ley de Privacidad del Consumidor de California (CCPA) y, para el inicio de sesión con Google, la Política de datos de usuario de los servicios de API de Google.

1. Quiénes somos

HackGrade (hackgrade.com) es un servicio de análisis de seguridad de sitios web que opera desde Israel. HackGrade es el responsable del tratamiento de tus datos personales. Para cualquier pregunta o solicitud sobre privacidad, escribe a support@hackgrade.com.

2. Qué recogemos

Datos de la cuenta: tu correo electrónico, un hash de tu contraseña si la defines (nunca la contraseña), tu idioma, tu plan y cuándo confirmaste el correo y aceptaste nuestros Términos.
Inicio de sesión con Google o GitHub: si lo eliges, solo tu correo electrónico y el identificador de cuenta que el proveedor te asigna. La sección 3 explica exactamente qué recibimos y cómo lo usamos.
Sitios y verificación: los dominios que añades, el método y el token de verificación, y los resultados de nuestras comprobaciones periódicas de propiedad.
Autorizaciones de análisis: por cada Autorización de análisis que aceptas registramos el sitio, la fecha y la hora, la versión y una huella (hash) del texto exacto que viste, tu idioma, tu dirección IP y el agente de usuario de tu navegador. Es nuestra prueba de que el análisis estaba autorizado.
Sitios analizados, resultados e informes: las direcciones de los sitios que analizas, lo que nuestros análisis encontraron en ellos, el historial de análisis, las notas y los informes PDF. Pueden incluir fragmentos breves de las páginas de tu sitio (por ejemplo, una cabecera o un mensaje de error) como prueba. Ocultamos los secretos y datos personales que detectamos en esos fragmentos.
Credenciales de la cuenta de prueba (opcional): si nos das una cuenta de prueba para análisis autenticados, guardamos su usuario y contraseña cifrados (Fernet, AES-128 con control de integridad HMAC). Solo se descifran en memoria mientras se ejecuta un análisis, nunca se vuelven a mostrar ni se escriben en registros, y se eliminan automáticamente tras 90 días sin uso, o de inmediato cuando las quitas.
Marca (planes de agencia): el nombre y el logotipo de la agencia que subes para informes de marca blanca.
Análisis gratuitos: la dirección web que introduces y los resultados. Guardamos un hash con sal de tu dirección IP (no la IP en sí) para evitar abusos.
Registros de seguridad y de uso: las sesiones iniciadas (con una IP en hash y el tipo de navegador), los contadores de límite de peticiones y los registros de acceso de nuestro servidor web, que guardan tu dirección IP, tu navegador, la página solicitada y la hora.
Pagos: los gestionan nuestros proveedores de pago. Solo recibimos el plan, el importe, el estado del pago y una referencia de cliente, nunca el número completo de tu tarjeta.
Mensajes: lo que nos envías por correo electrónico, por ejemplo a support@hackgrade.com.
Chat de soporte: el correo electrónico que nos das antes de chatear (no te pedimos el nombre), tus mensajes y nuestras respuestas (de Grady, nuestro asistente de IA, o de una persona del equipo), la página desde la que escribes, tu idioma, una IP en hash y la valoración (pulgar arriba o abajo) que des a una respuesta. Si tienes la sesión iniciada, la conversación se vincula a tu cuenta y Grady puede usar tu plan, la fecha de renovación, tus sitios, sus notas y los hallazgos principales para responderte. Cuando sales del chat, te enviamos por correo una copia de la conversación.
Consentimiento de marketing (opcional): si marcas la casilla para recibir consejos de seguridad y ofertas, registramos tu correo, la hora, el texto exacto que viste y su versión, tu idioma, dónde diste tu consentimiento y una IP en hash. Mientras estés suscrito, también podemos anotar que viste un plan o empezaste el pago, para hacerte un seguimiento. No registramos nada de esto de quien no se ha suscrito.
Cookies: consulta la sección 10.

Facilitar estos datos es voluntario, pero sin un correo electrónico (con contraseña, enlace de acceso o proveedor de inicio de sesión) no podemos abrir una cuenta, sin verificación y autorización no podemos hacer análisis profundos y sin pago no podemos ofrecer planes de pago.

3. Inicio de sesión con Google (y otros proveedores)

Puedes crear tu cuenta de HackGrade e iniciar sesión con tu cuenta de Google en lugar de una contraseña. Esta sección explica exactamente qué pasa con los datos que recibimos de Google.

Qué recibimos. Solo pedimos a Google los permisos (scopes) "openid" y "email". De Google recibimos y conservamos únicamente tu correo electrónico, si Google lo ha verificado y el identificador de tu cuenta de Google (un número que identifica tu cuenta de Google ante nosotros). No pedimos ni recibimos tu nombre, tu foto de perfil, tus contactos, tu calendario, tus archivos de Google Drive, tus mensajes de Gmail ni ningún otro dato de Google, y no tenemos ningún otro acceso a tu cuenta de Google. No guardamos los tokens que Google emite al iniciar sesión: los usamos una sola vez para confirmar quién eres y después los descartamos.

Para qué lo usamos. Solo para crear tu cuenta de HackGrade, iniciar tu sesión, mantener tu cuenta vinculada a tu cuenta de Google y enviarte a esa dirección los correos propios de tu cuenta (como alertas de seguridad, resultados de análisis y avisos de facturación). No lo usamos para nada más.

Cómo lo guardamos y protegemos. Tu correo electrónico y el identificador de tu cuenta de Google se guardan en nuestra base de datos de cuentas, en nuestros servidores. Todos los datos viajan por conexiones cifradas (HTTPS con TLS 1.2 o superior), el inicio de sesión está protegido con PKCE y un estado de un solo uso, y comprobamos la firma del token de identidad de Google antes de confiar en él. El acceso a la base de datos está limitado a los sistemas de HackGrade y al personal que lo necesita para prestar el Servicio.

Comunicación a terceros. No vendemos los datos recibidos de Google ni los compartimos con nadie, salvo con nuestros proveedores de alojamiento y de correo indicados en la sección 5, solo en la medida necesaria para gestionar tu cuenta y enviarte sus correos, o cuando la ley lo exige. Nunca los usamos para publicidad, nunca los enviamos al proveedor de IA de Grady ni a ningún otro servicio de IA, y no los usamos para desarrollar, mejorar ni entrenar modelos de IA o de aprendizaje automático. Ninguna persona los lee salvo que nos lo pidas, que sea necesario para investigar un problema de seguridad o abuso, o que la ley lo exija.

Conservación y eliminación. Conservamos estos datos mientras tu cuenta esté abierta. Cuando eliminas tu cuenta en la configuración de la cuenta, tu correo electrónico y el identificador de tu cuenta de Google se borran de inmediato de nuestros sistemas activos, y las copias de seguridad se sobrescriben en un plazo de 30 días. Un inicio de sesión que empiezas y no terminas se borra a los 30 minutos. También puedes pedirnos que eliminemos tus datos escribiendo a support@hackgrade.com. Puedes revocar en cualquier momento el acceso de HackGrade a tu cuenta de Google en myaccount.google.com/permissions; así dejas de poder iniciar sesión con Google, pero tu cuenta de HackGrade no se elimina: si también quieres eliminarla, hazlo desde tu cuenta o escríbenos.

Uso limitado. El uso y la transferencia por parte de HackGrade de la información recibida de las API de Google se ajustan a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado (Limited Use). HackGrade's use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements.

Otros proveedores. El inicio de sesión con GitHub funciona igual: solo conservamos tu ID de usuario de GitHub y tu correo principal verificado, y solo los usamos para crear tu cuenta e iniciar tu sesión. Los permisos de GitHub ("read:user" y "user:email") también nos muestran tu perfil público, pero no lo guardamos. Si añadimos otro proveedor de inicio de sesión, lo indicaremos aquí antes.

4. Para qué los usamos y base jurídica

Para prestar el Servicio que solicitaste: cuentas e inicio de sesión, análisis, informes, monitorización y alertas (ejecución de nuestro contrato contigo).
Para asegurarnos de que solo personas autorizadas analizan un sitio, conservar prueba de la autorización y prevenir el fraude y el abuso (nuestro interés legítimo en operar de forma lícita y segura, y nuestras obligaciones legales).
Para cobrarte y llevar la contabilidad (contrato y obligación legal).
Para enviarte correos del servicio, como códigos y enlaces de acceso, verificación, alertas de seguridad, resultados de análisis y recordatorios de renovación (contrato). Solo enviamos correos de marketing si das tu consentimiento, y puedes darte de baja en cualquier momento.
Para mantener seguros el Servicio y tu cuenta mediante los registros de inicio de sesión y del servidor (interés legítimo).
Para mejorar el Servicio con estadísticas anónimas y agregadas (interés legítimo).
Para responder a tus consultas de soporte en el chat y por correo (contrato, o nuestro interés legítimo en ayudar a los visitantes) y, solo si te suscribes, enviarte consejos de seguridad y ofertas (consentimiento, que puedes retirar cuando quieras con el enlace para darte de baja o en los ajustes de la cuenta).

Al crear una cuenta te pedimos que confirmes que has leído esta política. Esa confirmación deja constancia de que te informamos; no es un consentimiento para el tratamiento. Nos basamos en la base jurídica indicada arriba para cada finalidad y, cuando esa base es el consentimiento (correos de marketing), lo pedimos por separado, con su propia casilla sin marcar. Cuando la ley israelí exige consentimiento para alguna de las finalidades anteriores, lo das al usar el Servicio después de haber sido informado por esta política, y puedes retirarlo en cualquier momento eliminando tu cuenta. No vendemos tus datos personales, no los "compartimos" para publicidad conductual de contexto cruzado, no los usamos para entrenar modelos de IA y no los usamos para decisiones automatizadas con efectos jurídicos sobre ti.

5. Quién recibe tus datos

Trabajamos con un número reducido de proveedores ("encargados del tratamiento") que actúan solo siguiendo nuestras instrucciones y con contratos que protegen tus datos:

Alojamiento: Contabo, que aloja nuestros servidores, nuestra base de datos y nuestra infraestructura de análisis.
Envío de correo: Resend, que entrega nuestros correos de cuenta, de inicio de sesión y de alertas.
Correo entrante: Cloudflare, que recibe los correos que envías a support@hackgrade.com y los reenvía a nuestro equipo de soporte.
Asistente de IA: OpenAI, que genera las respuestas de Grady en el chat de soporte. Recibe tus mensajes del chat y, si tienes la sesión iniciada, los datos de la cuenta indicados en la sección 2 (tu plan, la fecha de renovación, tus sitios, notas y hallazgos principales, pero no tu correo electrónico), solo para generar la respuesta. Por favor, no compartas contraseñas ni números de tarjeta en el chat.
Pagos: cuando compras un plan de pago, nuestros proveedores de pago Grow (Meshulam) y Paddle. Paddle actúa como revendedor y es responsable independiente de los datos de pago que recoge.

Si inicias sesión con Google o GitHub, ese proveedor nos confirma tu identidad conforme a su propia política de privacidad; no le enviamos nada sobre tu uso de HackGrade.

También podemos revelar datos cuando la ley lo exija, para proteger a personas o a nuestro Servicio de un daño, o al propietario o al proveedor de alojamiento de un sitio analizado sin autorización. Si nuestro negocio se vende o se fusiona, tus datos pueden pasar al nuevo titular bajo esta política.

6. Transferencias internacionales

Estamos establecidos en Israel, país que la Comisión Europea reconoce como de protección adecuada. Nuestros servidores están en la UE, y nuestros proveedores pueden tratar datos en la UE, en Estados Unidos o en otros países. Cuando los datos salen de Israel, de la UE o del Reino Unido, nos basamos en decisiones de adecuación o cláusulas contractuales tipo y en las garantías de nuestros proveedores.

7. Cuánto tiempo conservamos los datos

Cuenta, identidades de inicio de sesión (Google o GitHub), sitios, historial de análisis e informes: mientras tu cuenta esté abierta. Cuando eliminas tu cuenta, los borramos de inmediato de nuestros sistemas activos; las copias de seguridad se sobrescriben en un plazo de 30 días.
Registros de autorizaciones de análisis: mientras tu cuenta esté abierta. Cuando eliminas tu cuenta, quitamos de ellos la dirección IP y el navegador y conservamos el resto (sitio, fecha y hora, versión y huella del texto) hasta 7 años como prueba de que los análisis estaban autorizados; después los eliminamos. Base jurídica: nuestro interés legítimo en formular y defender reclamaciones.
Credenciales de la cuenta de prueba: hasta 90 días después del último uso, o hasta que las quites.
Resultados de análisis gratuitos: hasta 12 meses.
Sesiones: hasta 14 días. Inicios de sesión sin terminar: 30 minutos. Contadores de límite de peticiones y de inicio de sesión: hasta 30 días.
Registros de acceso del servidor web: hasta 14 días.
Copias de los correos que te enviamos: hasta 90 días.
Inscripciones en la lista de espera: hasta que te avisemos del lanzamiento, o antes si nos pides que te quitemos.
Registros de pagos y facturas: lo que exija la normativa fiscal y contable (en Israel, por lo general 7 años).
Pruebas para reembolsos y disputas de pago (aceptaciones al pagar, confirmaciones de informe completo y el ID del correo de confirmación, horas de visualización del informe completo y de descarga del PDF, con dirección IP y navegador): al menos 18 meses, aunque elimines tu cuenta; después se borran. Base legal: nuestro interés legítimo en gestionar reembolsos y contracargos.
Conversaciones del chat de soporte: se borran automáticamente 180 días después del último mensaje. Puedes borrar una conversación antes en los ajustes de la cuenta, y tus conversaciones vinculadas se borran al eliminar tu cuenta.
Consentimiento de marketing: mientras sigas suscrito. Cuando te das de baja, solo guardamos tu correo, el registro del consentimiento y la fecha de la baja, para demostrar el consentimiento y asegurarnos de no volver a enviarte marketing. Notas de seguimiento de planes y pagos: hasta 90 días.

8. Seguridad

Protegemos los datos con cifrado en tránsito (TLS 1.2+), cifrado en reposo de las credenciales de cuentas de prueba, contraseñas e IP en hash, una base de datos a la que solo acceden nuestros propios sistemas y el personal autorizado, controles de acceso estrictos, una Content Security Policy estricta y pruebas de seguridad periódicas de nuestra propia plataforma. Si se produce un incidente de seguridad que afecte a tus datos personales, te lo notificaremos a ti y a las autoridades competentes según exija la ley.

9. Tus derechos

Según dónde vivas, puedes pedirnos: ver los datos que tenemos sobre ti y obtener una copia; corregirlos; eliminarlos; limitar u oponerte a algunos usos; recibirlos en un formato portable (portabilidad); y retirar tu consentimiento. Los residentes en California también pueden ejercer el derecho a saber y el derecho a solicitar la eliminación de sus datos, y no serán discriminados por ejercerlos. Puedes eliminar tu cuenta tú mismo en la configuración de la cuenta. Si no tienes cuenta (por ejemplo, solo usaste el chat de soporte, la lista de espera o nuestros correos), puedes eliminar esos datos en nuestra página Eliminar mis datos. Para cualquier otra solicitud escribe a support@hackgrade.com. Respondemos en el plazo de un mes y puede que necesitemos confirmar tu identidad. También puedes presentar una reclamación ante la Autoridad de Protección de la Privacidad de Israel o, en la UE o el Reino Unido, ante tu autoridad local de protección de datos.

10. Cookies

Solo usamos cookies estrictamente necesarias para el Servicio: una cookie de sesión y una cookie de seguridad (CSRF), ambas válidas durante un máximo de 14 días; cookies de corta duración que protegen un inicio de sesión mientras está en curso (hasta 30 minutos); y, después de que confirmes un código de acceso, una cookie de seguridad que marca este navegador como uno en el que demostraste tener acceso a tu correo, durante 30 días. No mantiene tu sesión iniciada: forma parte de la seguridad del inicio de sesión, que pide un código en los navegadores que no reconoce, por lo que es estrictamente necesaria. Si la borras, simplemente te pediremos un código la próxima vez que inicies sesión. Si usas el chat de soporte, también usamos una cookie estrictamente necesaria para que puedas continuar la conversación; caduca como máximo a los 180 días. Tu elección de idioma se guarda en el almacenamiento local del navegador. No usamos cookies publicitarias ni de analítica y no cargamos rastreadores ni fuentes de terceros. Consulta nuestro Aviso de cookies.

11. Menores

HackGrade no está dirigido a menores de 18 años y no recogemos sus datos a sabiendas. Si crees que un menor nos ha dado datos personales, escribe a support@hackgrade.com y los eliminaremos.

12. Cambios

Publicaremos cualquier cambio aquí con una nueva versión y fecha y, si es importante, te lo diremos por correo electrónico antes de que entre en vigor.

13. Contacto

Para cualquier pregunta sobre esta política o tus datos, o para ejercer tus derechos, escribe a support@hackgrade.com.