Estas condiciones se aplican cuando una empresa crea y utiliza weakestlink — un servicio de formación en seguridad y simulación interna de phishing autorizada, operado por WEAKESTLINK ApS (CVR 46614011), info@weakestlink.io. El servicio se ofrece exclusivamente a empresas; la normativa de protección de consumidores, incluido el derecho de desistimiento, no es aplicable. Al crear una cuenta, aceptas estas condiciones en nombre de la empresa.

1. Cuenta y registro

La cuenta se crea de forma autónoma con un correo electrónico de trabajo. Garantizas que estás autorizado a actuar en nombre de la empresa y que la información proporcionada es correcta. Eres responsable de mantener la confidencialidad de tus credenciales de acceso y de la actividad realizada en la cuenta.

2. Periodo de prueba

Las organizaciones nuevas obtienen un periodo de prueba gratuito de un mes desde su creación, con usuarios ilimitados y acceso completo. La prueba no requiere tarjeta de pago y no pasa automáticamente a ser de pago: solo se cobrará algo cuando vosotros mismos registréis una tarjeta.

3. Precios y pago

Tras el periodo de prueba se cobrará el precio vigente por usuario activo al mes, según figura en la lista de precios en weakestlink.io — actualmente 1 € en Dinamarca. Los precios no incluyen IVA; en ventas a empresas de otros países de la UE se factura conforme a las reglas de inversión del sujeto pasivo. Los precios se muestran a título informativo en la moneda local, pero se cobran en coronas danesas (DKK) — el importe en vuestro extracto puede variar según el tipo de cambio de la entidad emisora de la tarjeta y posibles comisiones.

El pago se realiza mensualmente por adelantado y se carga automáticamente a la tarjeta de pago que hayáis registrado. El número de usuarios activos se calcula el día 1 de cada mes; un usuario está activo cuando ha sido dado de alta en la cuenta y no ha sido desactivado (offboarding) en el momento del cálculo. Los usuarios creados durante un mes solo se contabilizan a partir del siguiente cálculo, y no se realizan reembolsos por usuarios desactivados dentro de un mes ya pagado. Si no se puede realizar el cobro, os lo notificaremos por correo electrónico y la cuenta pasará a modo restringido (apartado 4) hasta que se complete el pago.

El precio puede variar según el mercado. Podemos modificar el precio —incluso para un único mercado a la vez— con un preaviso mínimo de 30 días por correo electrónico; el nuevo precio se aplicará, como pronto, a partir del primer periodo de facturación posterior al vencimiento del preaviso, y nunca para un periodo ya abonado. Si no deseáis continuar con el nuevo precio, podéis cancelar antes de que entre en vigor y pagaréis el precio anterior hasta la baja. No hay permanencia.

4. Fin del periodo de prueba y modo restringido

Si el periodo de prueba finaliza sin que se haya registrado una tarjeta de pago —o si no se puede completar un cobro—, la cuenta pasará a modo restringido: no se podrán enviar nuevas simulaciones ni crear nuevos usuarios, pero vuestros datos e informes se conservarán y seguirán siendo accesibles. La cuenta se desbloquea en cuanto se registra el pago. Si la cuenta permanece en modo restringido durante más de 90 días consecutivos, consideraremos finalizada la relación con el cliente; os avisaremos por correo electrónico con al menos 30 días de antelación y, a continuación, eliminaremos los datos personales conforme al acuerdo de tratamiento de datos.

5. Uso permitido

Las simulaciones de phishing solo pueden enviarse a los propios empleados de la organización (o a personas con una cuenta en vuestra organización), sobre la base de una autorización escrita de la dirección de la organización y de una ponderación de intereses realizada y aprobada (interés legítimo, RGPD art. 6, apdo. 1, letra f) — y únicamente cuando un dominio de envío ha sido verificado. No está permitido usar el servicio para enviar simulaciones a terceros ni para llevar a cabo ataques reales. En caso de uso indebido, podemos suspender la cuenta de inmediato y rescindir el contrato sin previo aviso.

6. Vuestra responsabilidad respecto a las simulaciones

Las simulaciones solo se envían con vuestra autorización expresa y sobre la base de la ponderación de intereses que aprobéis en el producto. Garantizáis que la autorización ha sido otorgada por una persona con responsabilidad directiva, y que se informa e involucra a los representantes de los empleados, comités de empresa, etc., cuando la legislación o los acuerdos de vuestro país así lo exijan. Asumís la responsabilidad de las consecuencias internas de las simulaciones aprobadas —por ejemplo, reacciones de empleados, alarmas en vuestros sistemas de seguridad informática o escaladas erróneas— salvo que el daño se deba a que nos hayamos desviado del contenido aprobado o del grupo de destinatarios aprobado.

La entrega de las simulaciones en vuestro entorno de correo requiere que configuréis las excepciones recomendadas (lista de permitidos) en vuestro filtro de correo. No somos responsables de las simulaciones que sean bloqueadas o modificadas por vuestros propios sistemas, y recomendamos informar a vuestro departamento de TI antes de enviar la primera simulación.

7. Roles y datos personales

Cuando utilizáis el servicio para la formación de empleados, vuestra empresa es la responsable del tratamiento de los datos de los empleados, y weakestlink es el encargado del tratamiento. El tratamiento se realiza conforme al acuerdo de encargado del tratamiento, que se acepta al crear la cuenta. Consulta también la política de privacidad para conocer los datos de los que weakestlink es responsable directo.

8. Disponibilidad y soporte

Nos esforzamos por mantener un alto nivel de disponibilidad, pero el servicio se presta tal cual y según disponibilidad —sin tiempo de actividad garantizado (SLA) ni tiempos de respuesta de soporte garantizados. El soporte se ofrece por correo electrónico en info@weakestlink.io, y respondemos en un plazo razonable durante los días laborables. Podemos realizar mantenimiento y actualizaciones programadas.

9. Responsabilidad

El servicio es una herramienta de formación y medición. No constituye asesoramiento en seguridad ni garantiza protección frente a ataques reales, ni un determinado cambio de comportamiento en los empleados.

Ninguna de las partes será responsable de daños indirectos, incluidas pérdidas operativas, pérdida de datos o daños consecuenciales. Nuestra responsabilidad total conforme al acuerdo se limita al importe que hayáis pagado por el servicio en los últimos 12 meses. Estas limitaciones no se aplican en caso de dolo o negligencia grave, ni cuando la legislación aplicable no permita dicha limitación.

10. Contenido del cliente y nuestros derechos

Conserváis los derechos sobre los datos que introducís (por ejemplo, listas de empleados). Nos concedéis únicamente el acceso necesario para prestar el servicio. Nuestro contenido formativo y nuestra biblioteca de simulaciones pertenecen a weakestlink y no pueden revenderse ni publicarse fuera de vuestra organización. Podemos elaborar y utilizar estadísticas de forma anonimizada y agregada, que no permitan identificar a vuestra organización ni a personas concretas, para mejorar el servicio y obtener información sobre amenazas a nivel general del servicio.

Las plantillas de simulación pueden imitar remitentes conocidos y reproducir nombres y logotipos de terceros. Estos pertenecen a sus respectivos propietarios, se usan únicamente para formación interna autorizada dentro de un grupo cerrado de destinatarios, y no implican ninguna vinculación ni aprobación por parte de dichos propietarios. Si un titular de derechos se opone a una plantilla, la retiraremos.

11. Confidencialidad

Las partes tratarán de forma confidencial la información no pública de la otra parte —incluidos los informes sobre los resultados de formación y simulación de vuestra organización— y solo la utilizarán para los fines del acuerdo. Esta obligación también se mantiene tras la finalización del contrato. No usaremos vuestro nombre ni logotipo con fines de marketing sin vuestro consentimiento.

12. Cancelación y finalización

Podéis cancelar en cualquier momento desde la administración o escribiéndonos; la cancelación surte efecto al final del periodo pagado. Nosotros podemos cancelar con 30 días de preaviso, con efecto al final de un mes; se reembolsará cualquier pago anticipado correspondiente al tiempo posterior a la finalización. En caso de incumplimiento grave —incluido el uso indebido (apartado 5) o la falta de pago pese a un recordatorio— podemos suspender la cuenta de inmediato y cancelar sin preaviso. Al finalizar, eliminaremos o devolveremos los datos personales según vuestra elección, de conformidad con el acuerdo de encargado del tratamiento (a más tardar 90 días después de la finalización).

13. Fuerza mayor

Ninguna de las partes será responsable de circunstancias fuera de su control razonable, incluidos fallos de subcontratistas, cortes de electricidad, ciberataques, guerra o mandatos de las autoridades, mientras persista dicha circunstancia.

14. Cesión

Podemos ceder el contrato como parte de una transmisión total o parcial de la empresa o de una reestructuración. Vosotros no podéis ceder el contrato sin nuestro consentimiento por escrito, que no será denegado sin motivo razonable.

15. Modificaciones de las condiciones

Podemos modificar estas condiciones. Los cambios sustanciales se notificarán por correo electrónico con al menos 30 días de antelación. Si no deseáis continuar con las condiciones modificadas, podéis cancelar antes de su entrada en vigor; el uso continuado después de esa fecha se considerará una aceptación.

16. Ley aplicable y jurisdicción

Estas condiciones se rigen por la legislación danesa. Los litigios se resolverán exclusivamente ante los tribunales daneses, correspondiendo en primera instancia al juzgado de la circunscripción donde WEAKESTLINK ApS tenga su domicilio social.

¿Tienes alguna pregunta? Escríbenos a info@weakestlink.io.