Ubicación de los datos y confianza

Los datos de clientes se guardan en la UE: la base de datos en Irlanda (AWS eu-west-1) y la API en Fráncfort (Alemania) y París (Francia). NetSenX analiza metadatos de red y nunca descifra el tráfico cifrado; están publicados un contrato de encargo del tratamiento (artículo 28 del RGPD) y la lista de subencargados, y el delegado de protección de datos atiende en dpo@netsenx.com. Los subencargados de pagos y correo electrónico operan con cláusulas contractuales tipo de la UE, y algunas funciones de AI Analyst usan un proveedor fuera de la UE solo con su consentimiento expreso. El cumplimiento del RGPD se evalúa para el conjunto de su tratamiento, por lo que no alegamos ningún certificado.

La telemetría y las alertas del cliente se almacenan exclusivamente en la UE — almacenamiento de objetos y Postgres en la región de la UE, cifrados en reposo con AES-256-GCM. Stripe (pagos) trata datos en EE. UU., y varios de nuestros proveedores son empresas estadounidenses; en ambos casos se aplican las Cláusulas Contractuales Tipo de la UE. Algunas funciones de AI Analyst pueden usar un proveedor fuera de la UE solo con su consentimiento explícito. Publicamos una lista completa de subencargados junto con nuestro DPA.

En los planes Business y Enterprise, puede registrar una clave de AWS KMS o HashiCorp Vault en su tenant a través de nuestra API de BYOK.

En la UE: la base de datos en Irlanda (AWS eu-west-1) y la API en Fráncfort (Alemania) y París (Francia). El contrato de encargo del tratamiento enumera cada subencargado con su ubicación y su garantía de transferencia.

Puede ocurrir. Varios subencargados son sociedades constituidas en Estados Unidos y Cloudflare atiende las solicitudes en el punto de presencia más cercano al visitante, por lo que los datos personales pueden consultarse desde países fuera del EEE o pasar por ellos, con base en cláusulas contractuales tipo o en el Marco de Privacidad de Datos UE-EE. UU. Algunas funciones de AI Analyst usan un proveedor fuera de la UE, y solo con su consentimiento expreso.

No. La residencia es un factor; el cumplimiento del RGPD se evalúa para el tratamiento en su conjunto, incluida la base jurídica, la minimización de datos, los plazos de conservación y el contrato con el encargado. NetSenX publica su contrato de encargo del tratamiento (artículo 28 del RGPD) y no declara ningún certificado del RGPD.

Sí, en el plan Enterprise. Los demás planes usan el panel alojado en la UE, con un agente en un puerto SPAN o TAP por segmento de red o en los hosts que usted elija.

Guardar los datos en una región de la UE los mantiene físicamente en la UE, pero un proveedor constituido en EE. UU. puede estar sujeto a leyes estadounidenses que alcanzan los datos que controla. Según el capítulo V del RGPD, las transferencias fuera de la UE necesitan una base jurídica, como el Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo. Pregunte a cada proveedor dónde se guardan los datos, quién puede acceder a ellos y qué subencargados intervienen. NetSenX publica su lista de subencargados en su contrato de encargo del tratamiento.

Depende del producto, así que pregunte a cada proveedor qué sale exactamente de su red, en qué forma y dónde se guarda. Algunas herramientas copian paquetes completos para analizarlos después; otras solo envían resúmenes de cada conexión. NetSenX analiza metadatos y algunos campos de protocolo, como horarios, volumen, destinos, respuestas DNS y la negociación TLS, y nunca descifra el tráfico cifrado. No sube el contenido de archivos, el texto de los correos ni lo que alguien escribió en una web. Los datos de los clientes se guardan en la UE, con la base de datos en Irlanda y la API en Fráncfort y París, y el plan Enterprise ofrece una opción local para organizaciones que no quieren que nada salga de sus instalaciones. Aun así, los metadatos pueden identificar un dispositivo y, a través de él, a veces a una persona, por lo que son datos personales según el RGPD: el contrato de encargo del tratamiento establece cómo se tratan.

Debería poder, pero compruébelo antes de comprar, porque es el contrato lo que decide lo fácil que resulta. Pregunte qué datos puede exportar (alertas, listas de dispositivos, informes, configuración), en qué formato, si la exportación tiene coste, cuánto tiempo conserva el acceso tras el preaviso y cuándo borra el proveedor los datos y cómo lo confirma. Según el RGPD, el encargado del tratamiento debe devolver o suprimir los datos personales al terminar el servicio, como establezca el contrato de encargo, y usted elige qué opción. Planifique la salida desde el principio: mantenga su propio archivo de lo que pueda necesitar más tarde, como pruebas para una auditoría o un siniestro, en lugar de depender de la conservación del proveedor. Con NetSenX, las alertas pueden exportarse mediante la API desde el plan Pro y enviarse a un SIEM desde el plan Business, los informes de cumplimiento en PDF están disponibles desde el plan Starter y el contrato de encargo del tratamiento está publicado en la web.

La residencia de los datos trata de dónde se almacenan y procesan; la soberanía trata de a qué ley y a qué control están sometidos. Se confunden a menudo porque guardar datos en Fráncfort suena a mantenerlos bajo la ley europea. No necesariamente es así: un proveedor con sede fuera de la UE puede estar obligado por la ley de su país a entregar datos que controla, esté donde esté el servidor. La residencia se comprueba en un mapa; la soberanía exige mirar la empresa que presta el servicio, su matriz, sus subencargados y quién tiene las claves de cifrado. Haga tres preguntas a cada proveedor: dónde están los datos, a quién se le puede obligar legalmente a revelarlos y quién puede leerlos técnicamente. NetSenX guarda los datos de los clientes en la UE, con la base de datos en Irlanda y la API en Fráncfort y París, y enumera sus subencargados, algunos constituidos en EE. UU., en el contrato de encargo del tratamiento. Para un control total, el plan Enterprise ofrece una opción local.

Sí, pero toda transferencia de datos personales necesita una base válida y conviene saber cuál es para cada herramienta. En la sentencia Schrems II, el Tribunal de Justicia de la UE anuló en 2020 el Escudo de Privacidad y exigió a los exportadores que se apoyan en cláusulas contractuales tipo evaluar si la ley del país de destino las vacía de efecto, añadiendo garantías cuando haga falta. Hoy una transferencia a EE. UU. puede apoyarse en el Marco de Privacidad de Datos UE-EE. UU. si el destinatario está certificado, o en cláusulas contractuales tipo con una evaluación de impacto de la transferencia. Las herramientas de seguridad suelen tratar direcciones IP, nombres de dispositivos y de usuarios, que son datos personales. Para cada herramienta, averigüe adónde van los datos, qué base jurídica usa el proveedor, si la empresa está certificada y cómo la sustituiría si esa base volviera a caer. NetSenX guarda los datos de los clientes en la UE. Su contrato de encargo del tratamiento enumera los subencargados y dice claramente que algunos están establecidos fuera del EEE, por ejemplo empresas constituidas en EE. UU., y que esas transferencias se basan en cláusulas contractuales tipo o en el Marco de Privacidad de Datos.

No siempre, así que pregunte por cada tipo de dato por separado. Un proveedor puede tener su base de datos principal en la UE mientras las copias de seguridad, los informes de errores, los tickets de soporte, la analítica, el envío de correos o el personal que responde a sus tickets están en otro lugar. Cada uno puede contener datos personales o detalles de su red, como direcciones IP, nombres de dispositivos o capturas de pantalla. Pida al proveedor una lista de categorías de datos con la ubicación y el subencargado de cada una, y compruebe que el contrato de encargo las cubre todas, no solo los «datos del cliente» en sentido estricto. Pregunte también dónde está el personal con acceso de administración, porque un acceso remoto desde fuera de la UE también puede ser una transferencia. En NetSenX, los datos de los clientes se guardan en la UE, con la base de datos en Irlanda y la API en Fráncfort y París, y los subencargados figuran en el contrato de encargo del tratamiento. Esa lista es donde comprobar dónde funciona cada servicio; si algo no está claro, pregúntenos antes de firmar.

Pregunte quiénes son, qué hace cada uno con sus datos, dónde lo hace y cómo se enterará de los cambios. Un subencargado es una empresa a la que el proveedor recurre para tratar sus datos personales, como un proveedor de alojamiento, un servicio de base de datos o un servicio de envío de correos. Según el RGPD, el encargado solo puede recurrir a uno con autorización previa, específica o general, del responsable, y debe imponerle las mismas obligaciones de protección de datos. Preguntas prácticas: ¿está publicada la lista completa, con ubicación y finalidad de cada entrada? ¿Con cuánto preaviso le informan de uno nuevo y puede oponerse? ¿Cuáles ven datos legibles y cuáles solo guardan datos cifrados? ¿Alguno está fuera de la UE y con qué base de transferencia? ¿Quién responde si un subencargado falla? NetSenX enumera sus subencargados en el contrato de encargo del tratamiento publicado en su web, para que pueda revisarlos antes de registrarse.

Sí, si el proveedor trata datos personales por cuenta de usted, y la vigilancia de red casi siempre lo hace. Las direcciones IP, los nombres de dispositivos, los nombres de usuario en los nombres de host y las horas de conexión pueden identificar a una persona directa o indirectamente, así que son datos personales según el RGPD. Cuando un proveedor los trata para usted, usted es el responsable y el proveedor el encargado, y el RGPD exige un contrato u otro acto jurídico que fije el objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos, sus instrucciones, la seguridad, los subencargados, la ayuda ante brechas y qué ocurre al final. Léalo como cualquier otro contrato: revise los plazos de aviso de brechas, el derecho de auditoría, el preaviso de subencargados y la supresión al terminar. El contrato de encargo del tratamiento de NetSenX está publicado en su web y forma parte de las condiciones de servicio, por lo que se aplica desde que usa el servicio; los clientes Enterprise que necesiten un ejemplar firmado pueden solicitarlo.

Sí, está publicado en la web, así que puede leerlo antes de registrarse. Forma parte de las condiciones de servicio de NetSenX entre TriStiX S.L., como encargado, y su organización, como responsable, y enumera los subencargados con su función y ubicación. Entre sus compromisos: NetSenX le notifica una violación de datos personales en las 24 horas siguientes a tener conocimiento de ella; los cambios en la lista de subencargados se anuncian con al menos 14 días de antelación, para que pueda oponerse; tiene derecho de auditoría con preaviso; y al cerrar su cuenta los datos personales se suprimen de inmediato y las copias de seguridad caducan en 14 días, después de que haya podido exportarlos. También indica que los datos personales se guardan en el EEE y que algunos subencargados están establecidos fuera de él, junto con las garantías de transferencia utilizadas. El contrato se rige por la ley española y la autoridad de control indicada es la AEPD. Pida a su delegado de protección de datos que lo compare con sus requisitos; los clientes Enterprise pueden solicitar un ejemplar firmado.

En la UE y durante el tiempo que permita el historial de alertas de su plan. NetSenX registra metadatos de conexión de los segmentos vigilados: direcciones IP internas y externas, puertos, horas, volúmenes de datos, los nombres de los servidores a los que se conectan los dispositivos y el nombre que un dispositivo anuncia en la red, que a veces es el de una persona. Esos datos se guardan con la base de datos en Irlanda y la API en Fráncfort y París. Las alertas se conservan durante el historial de alertas de su plan: 30 días en Free, más en los planes de pago y sin límite en Enterprise. NetSenX no registra el contenido de los mensajes, los archivos ni lo que alguien escribió, porque nunca descifra el tráfico, e informa del uso de IA por dispositivo y programa, no por persona. Aun así, los datos de dispositivos pueden señalar a un empleado, así que trátelos como datos personales: informe a la plantilla en su aviso de privacidad de qué se vigila y para qué, limite quién puede abrir la cuenta en su empresa y compruebe si la ley nacional da voz a la representación de los trabajadores. En Enterprise, los datos pueden quedarse en sus instalaciones.

Posiblemente, y merece la pena hacer una breve aunque no sea estrictamente obligatoria. El RGPD exige una evaluación de impacto relativa a la protección de datos (EIPD) cuando es probable que un tratamiento suponga un alto riesgo para los derechos de las personas, y menciona la observación sistemática entre los casos que hay que considerar; las autoridades nacionales publican además listas de tratamientos que siempre la requieren. La vigilancia de una red corporativa puede entrar en ese ámbito, sobre todo si abarca los dispositivos de los empleados o alcanza su uso personal. Una EIPD describe qué recoge y para qué, comprueba la necesidad y la proporcionalidad, enumera los riesgos para las personas afectadas y las medidas que los reducen, y documenta la decisión. Consulte a su delegado de protección de datos, revise la lista de su autoridad y conserve el resultado. Medidas que ayudan en su evaluación: NetSenX registra metadatos y no contenido, nunca descifra el tráfico, informa del uso de IA por dispositivo y programa y no por persona, guarda los datos en la UE y le permite limitar quién abre la cuenta. No redacta la EIPD por usted.

Puede serlo, como cualquier proveedor, así que júzguelo por el plan de salida y no solo por su tamaño. Un proveedor pequeño puede estar más expuesto a cambios de financiación, plantilla o compra; uno grande puede cambiar precios, retirar un producto o trasladar los datos a otra jurisdicción. En ambos casos el riesgo se reduce igual: asegúrese de poder exportar sus datos en un formato útil en cualquier momento, guarde sus propias copias de las pruebas que necesite para auditorías, aseguradoras o autoridades, sepa cuánto tiempo sigue el servicio tras el preaviso y decida de antemano con qué lo sustituiría. En una herramienta de detección, piense además en qué pasa si se detiene: dejan de llegar alertas, pero sus sistemas siguen funcionando, algo muy distinto de perder un cortafuegos. NetSenX lo opera TriStiX S.L., una pequeña empresa española, y lo decimos abiertamente. Su contrato de encargo del tratamiento describe la exportación y la supresión; las alertas pueden exportarse mediante la API desde el plan Pro y a un SIEM desde el plan Business, y Enterprise puede funcionar en sus propias instalaciones.

Es una ley de EE. UU. que permite a sus autoridades, con una orden judicial o similar, exigir a los proveedores de servicios sometidos a la jurisdicción estadounidense que revelen datos que estén en su posesión, custodia o control, aunque se almacenen fuera de EE. UU. Por eso guardar datos en un centro de datos europeo no zanja la cuestión por sí solo: lo que importa es si la empresa que controla los datos, o su matriz, está sometida a la jurisdicción de EE. UU. Los proveedores pueden recurrir algunas órdenes, y el derecho de la UE limita cuándo una empresa europea puede entregar datos a una autoridad extranjera, de modo que el resultado es un conflicto de leyes y no un acceso automático. El cifrado con claves que el proveedor no puede usar reduce lo que podría revelarse. Pregunte a cada proveedor quién controla los datos y sus claves y qué empresas de la cadena son estadounidenses. NetSenX lo opera una empresa española y guarda los datos de los clientes en la UE, pero su contrato de encargo enumera algunos subencargados constituidos en EE. UU. Si necesita descartarlo por completo, la opción local del plan Enterprise mantiene los datos en sus propios sistemas.