Política de privacidad — weakestlink
Última actualización: 29 de septiembre de 2026
Esta política describe cómo weakestlink trata los datos personales de los que somos responsables del tratamiento. Si tu empresa utiliza weakestlink para la formación en seguridad, es la empresa quien actúa como responsable del tratamiento de los datos de los empleados, y weakestlink actúa como encargado del tratamiento; consulta el Anexo A.
1. Responsable del tratamiento
WEAKESTLINK ApS (CVR 46614011, registro mercantil danés) es responsable del tratamiento de datos personales en weakestlink.io. Contacto: info@weakestlink.io.
2. Qué datos tratamos, con qué finalidad y en base a qué fundamento legal
| Datos | Finalidad | Base legal (RGPD art. 6) | Eliminación |
|---|---|---|---|
| Persona de contacto del cliente (nombre, correo electrónico, cargo) | Crear y administrar la cuenta de la organización | Contrato (art. 6(1)(b)) | Al finalizar la relación con el cliente |
| Datos de facturación | Cobro y contabilidad | Obligación legal (art. 6(1)(c)) | 5 años, conforme a la ley de contabilidad danesa |
| Registros del servidor (IP, fecha y hora) | Funcionamiento y seguridad | Interés legítimo (art. 6(1)(f)) | 90 días |
| Dirección de correo electrónico, cuando te apuntas para recibir novedades sobre un próximo módulo (AI-Klar, deepfake) | Avisarte cuando el módulo esté disponible | Consentimiento (art. 6(1)(a)): puedes retirarlo escribiéndonos | Como máximo 12 meses después de la inscripción |
| El identificador de clic de Google (klik-id) cuando llegas desde un anuncio de Google, la hora del clic y si la cuenta se creó o empezó a pagar | Medición de anuncios: comprobar si un anuncio en Google dio lugar a la creación de una cuenta | Interés legítimo (art. 6(1)(f)): puedes oponerte, consulta el apartado 7 | 90 días después del clic. Si se ha notificado una conversión a Google, se elimina 90 días después de la notificación |
| Estadísticas de visitas: páginas vistas y clics en botones, con tipo de navegador, dispositivo y país. Sin cookies y sin guardar la dirección IP | Ver qué páginas se usan para poder mejorarlas. Las estadísticas se ejecutan en nuestro propio servidor (Umami) y no se comparten con terceros | Interés legítimo (art. 6(1)(f)) | Se conservan como estadísticas agregadas, sin nombre, correo electrónico ni dirección IP |
No tratamos números de identificación personal (DNI/NIE) ni ningún dato sensible (art. 9 del RGPD).
3. Procesamiento con IA
Usamos IA (Claude, de Anthropic) para redactar contenidos formativos y plantillas de simulación (lecciones, cuestionarios y correos señuelo) de forma interna, antes de publicarlos. No enviamos ningún dato de clientes ni datos personales de vuestros empleados a servicios de IA, y no se ejecuta ninguna IA sobre vuestros datos en producción.
4. Encargados y subencargados del tratamiento
Utilizamos los siguientes encargados del tratamiento. Para los proveedores fuera de la UE/EEE, la transferencia se realiza sobre la base de la decisión de adecuación de la Comisión Europea (EU-U.S. Data Privacy Framework) y/o cláusulas contractuales tipo (SCC):
| Proveedor | Servicio | País | Base de la transferencia |
|---|---|---|---|
| Anthropic PBC | Redacción del contenido de formación con IA (offline) | USA | DPF/SCC |
| Brevo (Sendinblue SAS) | Correo electrónico transaccional y de notificación saliente (por ejemplo, verificación de correo electrónico) | Frankrig | — |
| Cloudflare, Inc. | Red, TLS y protección contra DDoS | USA | DPF/SCC |
El alojamiento se realiza en infraestructura propia en Dinamarca.
Si pagáis con tarjeta, los datos de la tarjeta y del pago son tratados por nuestra pasarela de pago QuickPay (QuickPay ApS, Dinamarca) y por la entidad adquirente Clearhaus (Clearhaus A/S, Dinamarca) como responsables independientes del tratamiento conforme a la normativa de pagos — no como encargados del tratamiento en nuestro nombre. Nunca recibimos vuestro número de tarjeta completo. Ese tratamiento se rige por las propias políticas de privacidad de QuickPay y Clearhaus.
5. Cesión de datos
Solo comunicamos datos cuando es necesario para prestar el servicio, cuando lo exige la ley o con tu consentimiento. Hay una excepción: si llegaste a nosotros desde un anuncio de Google, enviamos a Google Ireland Ltd. (Google Ads) el identificador de clic del anuncio, la hora y si la cuenta se creó o se pagó, para saber qué anuncios funcionan. No enviamos ni tu nombre, ni tu correo electrónico, ni tu dirección IP. Google puede transferir estos datos a Google LLC en EE. UU. Según Google, lo hace al amparo del EU-U.S. Data Privacy Framework, en el que Google LLC está certificada, y, en su defecto, mediante cláusulas contractuales tipo (SCC). Nunca vendemos datos.
6. Conservación y eliminación
Los plazos concretos figuran en la tabla del apartado 2. La documentación contable se conserva durante 5 años a partir del final del ejercicio fiscal, conforme a la ley de contabilidad danesa. Transcurrido ese plazo, los datos se eliminan o se anonimizan.
7. Tus derechos
Tienes derecho de acceso, rectificación, supresión, limitación del tratamiento, portabilidad de los datos y oposición (GDPR art. 15–21). Si has dado tu consentimiento, puedes retirarlo en cualquier momento con efectos para el futuro. Escríbenos a info@weakestlink.io y te responderemos en el plazo máximo de un mes desde tu solicitud. Si no quieres que usemos el identificador de clic del anuncio (apartados 2 y 5), puedes oponerte (art. 21) escribiendo a la misma dirección: borraremos el identificador de clic y no comunicaremos nada sobre tu cuenta a Google. Si eres empleado de un cliente, también puedes dirigirte a tu empresa, que es la responsable del tratamiento (consulta el Anexo A).
8. Reclamaciones
Puedes presentar una reclamación sobre nuestro tratamiento de datos ante el Datatilsynet (autoridad danesa de protección de datos), Carl Jacobsens Vej 35, 2500 Valby, Dinamarca, www.datatilsynet.dk. También puedes reclamar ante la Agencia Española de Protección de Datos (AEPD), www.aepd.es.
9. Cookies
Usamos dos cookies: una cookie de sesión, necesaria para el inicio de sesión y la seguridad, y, si eliges tú mismo el idioma en el selector, una cookie que recuerda tu elección. Si llegas desde un anuncio de Google, guardamos el identificador de clic del anuncio en la sesión de nuestro servidor para poder indicar a Google si el clic dio lugar a una cuenta (consulta el apartado 5). La cookie en sí solo contiene un identificador de sesión aleatorio. No usamos ninguna otra cookie de seguimiento ni cookies de terceros, y las estadísticas de visitas (Umami) no utilizan cookies.
10. Cambios
Los cambios significativos en esta política se anunciarán en weakestlink.io y/o por correo electrónico.
Anexo A — reparto de responsabilidades en la formación de empleados
Cuando una empresa (tu empleador) utiliza weakestlink para la formación en seguridad y las simulaciones de phishing, la empresa es la responsable del tratamiento de los datos de los empleados, y weakestlink actúa como encargado del tratamiento. El tratamiento se realiza siguiendo las instrucciones de un acuerdo de tratamiento de datos, que se firma en el momento del registro. Esta política se aplica únicamente a los datos de los que nosotros mismos somos responsables (datos de contacto y facturación del cliente, así como operación del servicio).
Las simulaciones de phishing solo se ejecutan sobre una base jurídica documentada (consentimiento de la organización y una evaluación aprobada de interés legítimo). Los informes son agregados y solo muestran cifras de grupos de al menos cinco personas. Los resultados de cada empleado (puntuación de riesgo, progreso en los cursos y eventos de simulación) solo los ve el administrador de la organización y, si la organización lo activa, los responsables. El objetivo es formación adicional dirigida, nunca exponer ni sancionar. Los resultados se conservan mientras dura la relación con el cliente y se eliminan al finalizar, según el acuerdo de encargo del tratamiento. Nunca guardamos lo que un empleado escribe en una simulación, solo el hecho de que ocurrió un evento.