PathlyAuditar mi sitio

Seguridad y RGPD

Seguridad y RGPD: qué hace Pathly con sus datos

Antes de confiar los sitios de sus clientes a una herramienta, quiere saber adónde van los datos, quién los trata y cómo se protegen. Estas son las respuestas, con los documentos que nos comprometen.

Actualización: 30 de octubre de 2026

Dónde están sus datos

  • La aplicación, la API, las sondas, la base de datos y las capturas de pantalla se alojan en Google Cloud, en la región europe-west1 (Bélgica, Unión Europea).
  • Las sondas salen de un único punto de medida, eu-west. Hoy no existe otra región operativa.
  • Las copias de seguridad de la base se quedan en la misma región.
  • El tráfico público pasa por Cloudflare (DNS, CDN, cortafuegos). Cloudflare es una empresa estadounidense: la transferencia se basa en el Marco de Privacidad de Datos UE–EE. UU., completado con las cláusulas contractuales tipo.

Quién trata sus datos

  • Para los datos de su organización, usted es el responsable del tratamiento. Elerine, que edita Pathly en España, actúa como encargada del tratamiento, según sus instrucciones.
  • Subencargados: Google Cloud (Irlanda, región europe-west1) para el alojamiento y la explicación de fallos por IA, Cloudflare (Estados Unidos) para la red y la verificación antibots del acceso, Mollie (Países Bajos) para los pagos, Brevo (Francia) para los correos, Google Workspace (Irlanda) para los buzones y el soporte, Discord (Estados Unidos) para notificaciones internas que citan el nombre del espacio y su plan, Invopop (España) para las facturas, desde su activación.
  • Para un proveedor establecido fuera de la Unión Europea, la transferencia se ampara en una decisión de adecuación, como el Marco de Privacidad de Datos, o en las cláusulas contractuales tipo de la Comisión Europea.
  • No añadimos ningún subencargado sin informarle.

Contrato de encargo del tratamiento (DPA)

  • El contrato de encargo previsto en el artículo 28 del RGPD está publicado en línea en los cuatro idiomas del sitio. Completa las condiciones de uso.
  • Si una violación de datos afecta a su organización, le avisamos sin dilación indebida, y como máximo 48 horas después de descubrirla.
  • Una instrucción, una solicitud razonable de auditoría o de supresión: privacy@pathlyhq.com.

Cifrado

  • En tránsito: HTTPS en todas partes, con HSTS. La base de datos no tiene dirección pública y solo acepta conexiones cifradas.
  • En reposo: cifrado por defecto de Google Cloud para la base, el almacenamiento de capturas y los secretos.
  • Además, en la aplicación: los secretos de sus escenarios y de sus webhooks se cifran con AES-256-GCM, las contraseñas se protegen con bcrypt y los tokens de sesión se guardan como hash.

Capturas de pantalla y conservación

  • Las capturas y los vídeos de fallo se guardan en un almacenamiento privado. Solo la API los lee, para los miembros de su espacio. El enlace de una alerta por correo está firmado y vale 7 días.
  • Las ejecuciones, sus capturas y sus vídeos se borran con una purga diaria, una vez pasada la retención de su plan: 7 días en Solo, 30 días en Freelance, 90 días en Pro y Business.
  • Para un Flow, recomendamos una cuenta de prueba en lugar de una cuenta real de cliente.

Copias de seguridad

  • La base se copia cada día, y cada copia se guarda 7 días.
  • También puede restaurarse a un instante preciso de los últimos 7 días.
  • La base de producción está protegida contra la eliminación.

Cuentas y accesos

  • Autenticación en dos pasos (TOTP) con códigos de respaldo, disponible para cada cuenta.
  • Sus sesiones abiertas se ven y se cierran desde la consola.
  • El acceso está protegido por un límite de intentos y una verificación antibots (Cloudflare Turnstile).
  • Del lado de Pathly, la consola interna está detrás de Cloudflare Access, y cada acceso de un administrador al espacio de un cliente queda registrado.

Inteligencia artificial

  • La explicación de un fallo por IA es opcional. Solo se lanza cuando usted la pide, nunca de forma automática.
  • Pasa por Google Cloud Vertex AI, en la región europe-west1. La región de análisis está bloqueada en la Unión Europea.
  • Solo se envían hechos textuales, con los valores sensibles ocultos. Nunca una captura, un vídeo ni el contenido de una página.
  • Google se compromete por contrato a no usar estos contenidos para entrenar sus modelos.

Sus derechos

  • Desde la consola, un administrador exporta los datos del espacio en JSON, y cada persona exporta los suyos. La supresión de la cuenta o del espacio se hace en el mismo lugar.
  • Cualquier otra solicitud: privacy@pathlyhq.com. Respuesta en un mes.
  • Autoridad de control: la AEPD (Agencia Española de Protección de Datos), ya que Elerine está establecida en España.

Antes de cada puesta en producción

  • Cada cambio pasa por una solicitud de fusión y una integración continua: pruebas, búsqueda de secretos (gitleaks), análisis estático (Semgrep), auditoría de dependencias y control de la infraestructura (Trivy).
  • Una nueva versión solo recibe todo el tráfico tras una etapa al 10 %, bajo el umbral de errores, y una prueba de humo en verde. Si no, vuelve a la versión anterior.

Estado del servicio

  • La página de estado de Pathly muestra en directo el estado de la API, de la base de datos y de las sondas.

Informar de una vulnerabilidad

Pathly no tiene ninguna certificación de seguridad hasta la fecha. Esta página describe las medidas vigentes, que puede contrastar con nuestros documentos públicos: política de privacidad, DPA y aviso legal.