Política de privacidad

HookPulse es operado por Altix Code Ltd, una empresa registrada en la República de Chipre («Altix», «nosotros», «nos»). Esta política explica qué datos personales recopilamos cuando utilizas nuestro sitio web y panel de control (el «Servicio»), qué información transita por el Servicio cuando publicas y entregas eventos de webhook, por qué lo hacemos, durante cuánto tiempo la conservamos, con quién la compartimos y los derechos que tienes sobre ella.

A lo largo de esta política intervienen dos funciones distintas con implicaciones legales clave: para los datos sobre ti y tu cuenta, Altix actúa como responsable del tratamiento. Para el contenido de los eventos que publicas a través del Servicio (que a su vez puede contener datos personales de tus propios usuarios finales), tú eres el responsable del tratamiento y Altix actúa como encargado del tratamiento bajo tus instrucciones exclusivas, con el único propósito de firmar, entregar y registrar dicho contenido en tu nombre. Consulta la sección «Cuándo tratamos datos en tu nombre» más abajo.

1. Datos que recopilamos sobre ti

Al registrarte y utilizar el Servicio, recopilamos:

Datos de la cuenta: tu dirección de correo electrónico, un nombre opcional, el nombre de tu organización y una copia de tu contraseña con sal y hash irreversible. Nunca almacenamos ni tenemos acceso a tu contraseña real.

Datos de equipo y permisos: si tu cuenta tiene más de un miembro, almacenamos el correo electrónico, rol, quién lo invitó y cuándo, para que el titular de la cuenta pueda administrar los accesos.

Información de facturación: tu plan de suscripción, estado y fecha de renovación. Los datos de la tarjeta y del pago son recopilados y custodiados por Stripe, nuestro proveedor de pagos; nosotros solo recibimos de ellos un identificador de suscripción y de cliente, nunca tu número de tarjeta.

Claves de API: almacenamos un hash unidireccional de cada clave de API que generas, junto con un prefijo corto no confidencial que se muestra en el panel para que puedas identificar tus claves. La clave completa solo se muestra una única vez al crearla y nunca más.

Comunicaciones de cuenta y soporte: cualquier mensaje que nos envíes por correo electrónico, así como los correos transaccionales que te enviamos (restablecimiento de contraseña, verificación de correo, invitaciones de equipo).

Registros de uso y seguridad: marcas de tiempo de inicio de sesión y un registro de auditoría de seguridad sobre las acciones de membresía en tu cuenta (invitaciones, cambios de roles, eliminaciones y solicitudes de baja de la cuenta), cada uno etiquetado con el correo del usuario que realizó la acción y la fecha/hora en que ocurrió.

Datos técnicos: registros estándar de servidor web y de solicitudes (dirección IP, agente de usuario, marcas de tiempo) generados al usar el panel, conservados por un breve período por motivos de seguridad y prevención de abusos.

2. Cuándo tratamos datos en tu nombre

HookPulse existe para recibir eventos desde tu backend, firmarlos, entregarlos en los endpoints de webhook que tú o tus propios clientes configuren, reintentar las entregas fallidas y mantener un registro duradero de cada intento. Ese registro —la petición que enviamos, la respuesta que recibimos y cuándo— es el producto: es el mecanismo mediante el cual tú y tus clientes confirman si llegó un webhook determinado y qué ocurrió si no lo hizo.

En la práctica, para cada evento que publicas mediante la API, almacenamos y transmitimos, bajo tus instrucciones y sin ningún otro fin:

La carga útil (payload) del evento remitido: JSON arbitrario proveniente de tus propios sistemas, el cual puede contener a su vez datos personales de tus usuarios finales (por ejemplo, un evento de pedido o suscripción que identifique a un cliente). No inspeccionamos, analizamos semánticamente ni utilizamos este contenido para ningún fin que no sea su entrega y registro.

La URL del endpoint de destino y, si lo especificas, un identificador de suscriptor dentro de tu propio espacio de nombres, empleado para acotar el historial de entregas al cliente correspondiente.

El resultado de cada intento de entrega: el código de estado de respuesta, los encabezados y cuerpo de la respuesta (o el error, si el servidor de destino no estuvo disponible), y el tiempo transcurrido; almacenados siempre de forma acumulativa y sin sobrescribirse, de modo que un intento posterior nunca borre lo registrado por uno anterior.

Tú conservas la condición de responsable del tratamiento de estos datos: tú decides qué publicar, dónde se entrega y quién puede consultar su historial de entregas (por ejemplo, mediante un portal token acotado y de corta duración). Es tu responsabilidad contar con la base jurídica legítima para incluir datos personales en un evento y cumplir con las obligaciones aplicables frente a tus usuarios finales según tu propia política de privacidad.

Cada secreto de firma y clave de firma de portal token se almacena cifrado en reposo con AES-256-GCM; los payloads y cuerpos de respuesta no cuentan con cifrado adicional independiente al cifrado en disco de la base de datos, y el acceso a ellos está restringido a tu cuenta y, en una entrega determinada, al portal token específico que decidas emitir.

3. Por qué los tratamos

Para prestar el Servicio en sí: firmar, entregar, reintentar y registrar los eventos que publicas, y aplicar los límites de entrega de tu plan.

Para facturarte, mediante Stripe, la suscripción de pago que hayas contratado.

Para comunicarnos contigo sobre tu cuenta, incluidos los correos indispensables para su funcionamiento (verificación, restablecimiento de contraseña, invitaciones a equipos) y, salvo que te hayas dado de baja, novedades esporádicas del producto.

Para mantener un registro de auditoría de seguridad sobre quién hizo qué en tu cuenta, permitiendo que los administradores revisen la actividad y podamos investigar posibles vulneraciones.

Para cumplir con nuestras obligaciones legales y contables, incluida la normativa fiscal.

4. Con quién los compartimos

No vendemos datos personales y nunca compartimos tus payloads de eventos ni tu historial de entregas con nadie, excepto bajo tus propias instrucciones (por ejemplo, un enlace de portal que generes para uno de tus clientes). Solo compartimos datos de la cuenta con los encargados de tratamiento necesarios para operar el Servicio, cada uno obligado contractualmente a utilizarlos exclusivamente para prestarnos su servicio:

Stripe, Inc.: procesamiento de pagos y facturación de suscripciones.

Resend (mediante su retransmisor SMTP): entrega de correos electrónicos transaccionales.

Cloudflare, Inc.: protección contra bots y abusos (Turnstile) en nuestros formularios de registro y restablecimiento de contraseña.

Hetzner Online GmbH: nuestro proveedor de infraestructura, donde operan físicamente nuestros servidores y bases de datos (ubicados en la UE).

Tus propios endpoints de webhook: las URL que configures reciben forzosamente los payloads de los eventos que nos pides entregarles. Dicha entrega constituye el núcleo del Servicio; no es una cesión a terceros por nuestra cuenta, sino la acción exacta que nos encomendaste.

Las facturas emitidas quedan asentadas en el sistema de facturación interno de Altix Code Ltd, común a todos nuestros productos, a fin de cumplir nuestras obligaciones fiscales y contables como entidad societaria única.

Algunos de estos proveedores se encuentran fuera del Espacio Económico Europeo. En tales casos, nos basamos en las Cláusulas Contractuales Tipo de la Comisión Europea o en garantías reconocidas equivalentes para amparar la transferencia internacional de datos.

También podremos divulgar datos cuando la ley lo exija, para hacer cumplir nuestras Condiciones del servicio o para proteger los derechos, la propiedad o la seguridad de Altix, de nuestros clientes o de terceros.

5. Cuánto tiempo los conservamos

Los datos de la cuenta, los eventos publicados y su historial de entregas e intentos se conservan mientras tu cuenta permanezca activa. Actualmente no existe un vencimiento automático diferenciado para los registros de entrega al margen de la vida útil de la cuenta, ya que dicho registro es la base en la que tú y tus clientes confían para auditar entregas a posteriori.

Si eliminas tu cuenta, todas las aplicaciones, endpoints, claves de API, registros de eventos y entregas que contenga, así como el acceso de todos los miembros del equipo, se eliminarán de forma inmediata y definitiva (consulta «Eliminación de tu cuenta» más abajo).

Las facturas emitidas permanecerán en nuestro sistema de facturación de forma independiente a tu cuenta durante el tiempo que la legislación fiscal y contable de Chipre exija conservar los registros financieros (actualmente hasta siete años).

Las entradas del registro de auditoría de seguridad se conservan tras la eliminación de la cuenta, puesto que la finalidad de un registro de seguridad es prevalecer sobre los incidentes que deba esclarecer; se conservan durante el tiempo necesario para fines de seguridad, prevención del fraude y requerimientos legales.

Los registros de servidor y de solicitudes se conservan brevemente (por lo general, unas semanas) y luego se eliminan o anonimizan.

6. Eliminación de tu cuenta

Los titulares pueden eliminar permanentemente su cuenta desde Configuración en cualquier momento. Al hacerlo:

Se cancela de inmediato cualquier suscripción activa: no se te vuelve a facturar y pierdes el acceso al instante en lugar de esperar al final del ciclo de facturación.

Se eliminan permanentemente todas las aplicaciones, endpoints, claves de API, eventos publicados y registros de intentos de entrega asociados a la cuenta.

Se revoca de inmediato el acceso de todos los miembros del equipo a la cuenta.

Se deja constancia en un registro de auditoría de que la eliminación tuvo lugar, entrada que no se elimina junto con la cuenta (véase más arriba).

No afecta a las facturas ya emitidas, las cuales permanecen en nuestro sistema de facturación conforme a nuestras obligaciones legales de conservación, al margen de la cuenta eliminada.

Esta acción es irreversible. El panel te solicitará escribir el nombre de tu cuenta para confirmar antes de proceder.

7. Cookies

Nuestro sitio web y panel de control utilizan una única cookie estrictamente necesaria para mantener tu sesión iniciada. No empleamos cookies publicitarias ni de seguimiento entre sitios en este sitio web.

8. Tus derechos

Si te encuentras en el Espacio Económico Europeo, el Reino Unido u otra jurisdicción con normativas de protección similares, tienes derecho a:

Acceder a los datos personales que conservamos sobre ti y obtener una copia de los mismos.

Rectificar datos inexactos.

Suprimir tus datos, incluso eliminando tu cuenta tú mismo como se describe anteriormente.

Limitar u oponerte a determinados tratamientos.

Recibir tus datos en un formato estructurado y de uso común (portabilidad).

Retirar tu consentimiento cuando el tratamiento se base en él (por ejemplo, correos opcionales con novedades del producto).

Presentar una reclamación ante la autoridad de protección de datos competente (en el caso de Chipre, la Oficina del Comisario para la Protección de Datos Personales).

Para ejercer cualquiera de estos derechos, escribe a privacy@altixcode.com. Si los datos por los que consultas corresponden al contenido de un evento —es decir, datos sobre un usuario final de nuestros clientes que transitan por el Servicio—, actuamos como encargados del tratamiento y no como responsables; por tanto, remitiremos la solicitud a la cuenta que publicó el evento, que es la parte responsable de responder, salvo que nos hayan indicado lo contrario.

9. Seguridad

Las contraseñas se procesan con hash mediante bcrypt y nunca se almacenan en texto no cifrado. Las claves de API se guardan como un hash unidireccional; únicamente se mantiene un prefijo corto en texto sin cifrar para su identificación. Los secretos de firma de endpoints y las claves de firma de portal tokens se almacenan cifrados en reposo con AES-256-GCM. Los enlaces de invitación y restablecimiento de contraseña utilizan tokens criptográficamente aleatorios de un solo uso que se guardan hasheados en reposo. El tráfico hacia el Servicio y cada entrega saliente que efectuamos hacia tus endpoints están cifrados en tránsito con TLS. El acceso a la infraestructura de producción está estrictamente limitado al personal indispensable para operar el Servicio.

10. Menores

El Servicio está destinado exclusivamente a empresas y profesionales, y no está dirigido ni se utiliza a sabiendas para recopilar datos de menores de 16 años.

11. Cambios en esta política

Si realizamos algún cambio sustancial en esta política, se lo notificaremos a los titulares de la cuenta por correo electrónico y actualizaremos la fecha de entrada en vigor indicada arriba antes de que dicho cambio sea efectivo.

12. Contacto

Altix Code Ltd (Chipre). Para cualquier pregunta acerca de esta política o sobre sus datos, escriba a privacy@altixcode.com.