Política de privacidad

Quiénes somos#

Lockpick lo opera datascience2go Inc., con sede en Ontario, Canada. Somos responsables de los datos personales que describe esta política. Cuando la ley de protección de datos utiliza el término, somos el responsable del tratamiento.

Esta política cubre el sitio web de Lockpick, la aplicación web y cualquier acceso mediante API, agente o línea de comandos que ofrecemos. No cubre los sitios web que nos pides evaluar, que tienen sus propias políticas.

Qué recopilamos#

Recopilamos lo siguiente, sobre todo de ti y del proveedor de inicio de sesión que elijas.

• Datos de la cuenta. Tu nombre, dirección de correo electrónico y contraseña, o el perfil básico que Google o GitHub comparten cuando inicias sesión con ellos.
• Datos del espacio de trabajo y del equipo. Nombres de los espacios de trabajo, miembros, roles e invitaciones.
• Sitios y pruebas de propiedad. Los sitios que añades y los registros DNS o archivos que publicas para demostrar que los controlas.
• Informes y material enviado. Resultados, pruebas censuradas y archivos que decides subir. Los archivos se almacenan temporalmente para procesarlos, como se explica más abajo.
• Respuestas de incorporación y registros de consentimiento. Lo que nos indicas al configurar Lockpick, y cuándo aceptaste nuestros términos o elegiste recibir correos del producto.
• Registros de uso y facturación. Las funciones que usas, los análisis que inicias, las listas de espera a las que te unes, la membresía Early AI-dopters que vinculas a tu cuenta (su id de cuenta, correo y plan), y tu plan y compras. Los datos de la tarjeta van a Polar, nuestro comerciante de registro, no a nosotros.
• Registros de seguridad y auditoría. Eventos de inicio de sesión, direcciones IP, datos del navegador y registros de acciones importantes, que usamos para mantener seguras las cuentas y Lockpick.
• Correo de soporte. Los mensajes que nos envías y nuestras respuestas.
• Preguntas a Ask Lockpick. Tu pregunta y los últimos mensajes de la conversación se envían a Google (Gemini), que responde a partir de nuestras páginas de ayuda. Cuando la coincidencia de respuestas está activada, también se envían a TypeSafe (Jev), que busca una respuesta revisada, y si has iniciado sesión y preguntas por tu propia cuenta, TypeSafe también puede ver el nombre y la dirección de tus sitios para saber a cuál te refieres. Mientras la coincidencia de respuestas está activada, guardamos un registro de cada respuesta, como la forma en que se respondió y tu valoración positiva o negativa, durante 30 días, sin el texto de la pregunta. No incluyas contraseñas, claves ni datos personales en una pregunta.

Qué recopila cada evaluación#

Los análisis de sitios leen información pública: páginas, cabeceras de respuesta, scripts, DNS, registros de certificados y datos de registro del dominio. Puede contener datos personales. Las pruebas de los informes se conservan con información sensible oculta.

Los análisis web Pulse y Deep alojado no inician sesión, no envían formularios ni recopilan analítica de visitantes. No necesitan acceso a tu repositorio privado de código.

Para comprobar un dominio, consultamos fuentes públicas de datos como crt.sh, resolutores DNS públicos como Google Public DNS, y servicios de registro RDAP. Solo reciben el dominio que se comprueba, nunca los datos de tu cuenta.

Una comprobación rápida sin cuenta funciona de la misma forma. Conservamos la dirección del sitio y el resultado para poder mostrártelos.

El archivo llega a nuestros servidores. Si la revisión con IA está configurada, se envían textos y rutas de archivos seleccionados a Anthropic tras ocultar información sensible. Borramos los fragmentos originales al finalizar el procesamiento; una revisión completa pausada los conserva para continuar. Las evaluaciones terminadas o fallidas caducan a los 30 días. La ocultación automática puede no detectar todos los datos sensibles. No subas credenciales ni datos personales ajenos a la comprobación. Las comprobaciones de dependencias pueden enviar nombres y versiones de paquetes a OSV.

Los archivos fuente y los informes permanecen en tu equipo. Lockpick recibe el proyecto, las comprobaciones solicitadas y las versiones del escáner para autorizar el análisis y registra esa autorización. Si compartes resultados con un asistente de IA, su proveedor recibe lo que compartas.

Monitor conserva los nombres y versiones de paquetes enviados. Un repositorio conectado también proporciona datos del repositorio y del commit, el manifiesto y el archivo de bloqueo seleccionados. Las comprobaciones de repositorios públicos y skills leen el código elegido; la revisión con IA puede enviar extractos censurados a Anthropic.

Aplicaciones y agentes conectados#

Si conectas una aplicación o agente a Lockpick, como Claude o la línea de comandos de Lockpick, también recopilamos lo siguiente.

• Registros de conexión. La cuenta y el espacio de trabajo a los que pertenece una conexión, la identidad y la dirección de retorno de la aplicación, los permisos que permitiste, y cuándo se creó, usó y revocó la conexión. Solo guardamos las credenciales de acceso en forma de hash.
• Solicitudes y resultados. Lo que envía cada solicitud, como direcciones de sitios, ID de sitios e ID de análisis, y lo que devolvemos. Los guardamos como cualquier otro uso de Lockpick, con los registros de uso, seguridad y auditoría descritos arriba.
• Acciones. Los sitios añadidos, los análisis iniciados y las aprobaciones dadas mediante una conexión se registran con tu cuenta, igual que las acciones en la aplicación web.

No solicitamos tu historial de conversaciones a través de una conexión. La aplicación solo nos envía lo que necesita una solicitud, así que no incluyas en ella contraseñas, claves ni datos personales no relacionados.

Devolvemos a la aplicación los hallazgos, las evidencias redactadas, la cobertura, el estado y las indicaciones de reparación. Su creador, como Anthropic en el caso de Claude, gestiona lo que pasa por la aplicación según sus propios términos y su política de privacidad.

Revocar una conexión la detiene de inmediato. No elimina las evaluaciones anteriores ni los registros de arriba, que conservamos según describe la sección de conservación.

Cómo usamos los datos personales#

• Para prestar Lockpick, incluido ejecutar las evaluaciones que pides, mostrar informes y gestionar los espacios de trabajo.
• Para confirmar que puedes probar un sitio, aplicar límites y prevenir el uso indebido, incluida la investigación de informes sobre evaluaciones que un propietario de sitio no autorizó.
• Para mantener seguras las cuentas y Lockpick.
• Para enviar correos del servicio, como los de inicio de sesión, verificación, invitación e informes, y correos del producto si elegiste recibirlos.
• Para responder solicitudes de soporte.
• Para entender cómo se usa Lockpick y mejorarlo.
• Para gestionar los planes y la facturación.
• Para cumplir nuestras obligaciones legales y proteger nuestros derechos.

No vendemos datos personales y no usamos tus informes para entrenar modelos de IA.

Bases legales para usuarios de la UE y el Reino Unido#

Si el RGPD o el RGPD del Reino Unido te son aplicables, nos basamos en estas bases legales.

• Contrato, para prestarte Lockpick según nuestros Términos de servicio.
• Intereses legítimos, para proteger Lockpick, prevenir el uso indebido, confirmar el permiso para realizar pruebas y mejorar el producto. Sopesamos estos intereses frente a tus derechos.
• Consentimiento, para los correos del producto y para analítica opcional cuando se requiera consentimiento. Puedes retirar tu consentimiento en cualquier momento.
• Obligación legal, cuando la ley nos exija conservar o divulgar datos.

Cookies y analítica#

Usamos una cookie para mantener tu sesión iniciada, y Lockpick no puede funcionar sin ella. Si eliges una configuración, como un idioma, también podemos recordarla en una cookie. También recordamos tu elección sobre cookies. Si aceptas las cookies opcionales y sigues un enlace de invitación, recordamos esa invitación durante 30 días para que se acredite a quien te invitó. No usamos cookies publicitarias.

La analítica del producto es opcional y está desactivada salvo que la configuremos. Usamos PostHog para contar cómo se usan las páginas y las funciones y, cuando está activado, reproducir interacciones con la página, como clics y desplazamientos. La reproducción usa identificadores de sesión anónimos en memoria, oculta el texto de la página, los campos de entrada y los atributos de clientes, y excluye imágenes, registros de consola y cargas de red. Las direcciones de página se reducen a patrones de ruta. Podemos revisar las reproducciones de sesión enmascaradas y los informes de errores con modelos de IA de Google (Gemini) y Anthropic (Claude) para encontrar problemas de usabilidad. Las reproducciones les llegan enmascaradas, como se describe arriba. Los informes de errores usan mensajes de diagnóstico fijos, ubicaciones del código y datos técnicos de la solicitud, que pueden incluir identificadores internos de cuenta y espacio de trabajo. Se eliminan mensajes originales de excepciones, contraseñas, claves y tokens. La analítica y la reproducción solo funcionan después de que las aceptes en nuestro aviso de cookies, y se detienen en cuanto cambias tu elección en Configuración de cookies. No escribimos cookies de analítica ni almacenamiento persistente del navegador, y tratamos Do Not Track y Global Privacy Control como un rechazo.

Con quién compartimos datos#

Solo compartimos datos personales como describe esta política.

• Proveedores de servicios que operan partes de Lockpick por nosotros, según contratos que limitan el uso de los datos. Incluyen alojamiento (Railway), envío de correo (Resend), inicio de sesión (Google y GitHub, cuando los usas), analítica del producto (PostHog, si está activada) y pagos (Polar, nuestro comerciante registrado, cuando compras un plan de pago). También incluyen proveedores de IA, Google (Gemini) y Anthropic (Claude), cuyos modelos revisan reproducciones de sesión enmascaradas e informes de errores para ayudarnos a encontrar y corregir problemas en Lockpick. Las preguntas a Ask Lockpick se envían a Google (Gemini) y, cuando la coincidencia de respuestas está activada, a TypeSafe (Jev), como se describe arriba. Anthropic también procesa extractos de código censurados en las revisiones de IA configuradas para ZIP, repositorios y skills. OSV recibe nombres y versiones de paquetes para comprobar dependencias.
• Fuentes de datos públicas, que reciben solo el dominio que se analiza, como se describe arriba.
• Personas de tu espacio de trabajo, que pueden ver sus sitios e informes según su rol.
• Cualquiera con quien compartas un enlace a un informe.
• Propietarios de sitios, autoridades u otros, cuando creamos que es necesario para prevenir un uso indebido o un daño, por ejemplo cuando un propietario de un sitio denuncia una evaluación que no autorizó.
• Autoridades u otras partes, cuando la ley lo exija.
• Un comprador o sucesor, si formamos parte de una fusión, adquisición o venta de activos, sujeto a esta política.

No vendemos datos personales ni los compartimos para publicidad dirigida.

Dónde se almacenan los datos#

Nuestros servidores están en Estados Unidos. Si vives en otro lugar, tus datos se transfieren a Estados Unidos, y nuestros proveedores de servicios pueden tratarlos en otros países. Cuando la ley lo exija, aplicamos garantías adecuadas para estas transferencias, como las cláusulas contractuales tipo.

Cuánto tiempo conservamos los datos#

• Datos de la cuenta, mientras tu cuenta esté activa y durante un plazo razonable después de cerrarla, para atender consultas, disputas y obligaciones legales.
• Los informes web permanecen hasta su eliminación mediante solicitud o cierre de la cuenta, con sujeción a las obligaciones de conservación aplicables. Las comprobaciones rápidas caducan tras 7 días por defecto. Los fragmentos ZIP originales se borran al completar el procesamiento; las revisiones completas pausadas los conservan para continuar hasta que se retiren. Las evaluaciones ZIP terminadas o fallidas se eliminan a los 30 días.
• Registros de seguridad y auditoría, durante un periodo limitado.
• Registros de facturación, mientras lo exija la ley fiscal y contable.
• Registros de conexión, mientras la conexión esté activa y, después, como parte de los registros de seguridad y auditoría.

Los datos eliminados pueden permanecer en copias de seguridad durante un breve periodo, hasta que esas copias se reemplacen.

Seguridad#

Aplicamos medidas técnicas y organizativas razonables para proteger los datos personales, como conexiones cifradas, controles de acceso y límites sobre quién puede ver los datos de los clientes. Ningún sistema es perfectamente seguro. Si una brecha afecta a tus datos personales, te avisaremos a ti y a las autoridades cuando la ley lo exija.

Tus opciones y derechos#

Puedes pedirnos acceder, corregir, eliminar o exportar tus datos personales, y puedes retirar cualquier consentimiento que hayas dado. Escríbenos a support@lockpick.app. Es posible que necesitemos confirmar tu identidad primero, y responderemos dentro del plazo que exija la ley.

• Canadá. Según PIPEDA y las leyes provinciales de privacidad, puedes acceder y corregir tus datos personales, y puedes presentar una queja ante la Oficina del Comisionado de Privacidad de Canadá.
• UE y Reino Unido. Según el RGPD y el RGPD del Reino Unido, también puedes oponerte o restringir algunos tratamientos, y puedes presentar una queja ante tu autoridad local de protección de datos o, en el Reino Unido, ante la Information Commissioner's Office.
• Estados Unidos. Según tu estado, puede que tengas derecho a saber qué datos personales tenemos sobre ti, a corregirlos o eliminarlos, a obtener una copia y a oponerte a su venta o a su uso para publicidad dirigida. No vendemos datos personales ni los usamos para publicidad dirigida. Puedes usar un representante autorizado, y no te trataremos de forma distinta por ejercer tus derechos.

Menores#

Lockpick está pensado para empresas y profesionales. No está dirigido a menores de 18 años, y no recopilamos datos personales de niños a sabiendas. Si crees que un menor nos ha dado datos personales, escríbenos y los eliminaremos.

Cambios en esta política#

Podemos actualizar esta política. La fecha de entrada en vigor y la versión que aparecen al principio de esta página indican qué versión se aplica. Si un cambio te afecta de forma sustancial, te lo comunicaremos antes de que entre en vigor, por correo electrónico o dentro de Lockpick.

Contacto#

Para consultas o solicitudes de privacidad, escríbenos a support@lockpick.app.

Lockpick es operado por datascience2go Inc., Ontario, Canada.