Legal · Última actualización: 20 de octubre de 2026
Política de privacidad
NeoDLP trata datos personales en dos papeles distintos. Aquí explicamos los datos que tratamos por nuestra cuenta y resumimos lo que hacemos con los que aparecen en los hallazgos de tu empresa.
01Quién es el responsable
El responsable de los tratamientos descritos en esta política es BOMONTE TECNOLOGÍAS, S.L., con CIF B83820696 y domicilio en Carretera de Majadahonda 50, Centro Comercial · 28660 Boadilla del Monte (Madrid) · España. NeoDLP es su nombre comercial.
Para cualquier asunto relacionado con protección de datos escríbenos a privacidad@bomontec.net o llámanos al 912 161 400.
02Dos papeles distintos
NeoDLP es un servicio para empresas que localiza datos personales y financieros dentro de sus sistemas. Eso nos coloca en dos posiciones diferentes ante el RGPD, y conviene distinguirlas desde el principio:
- Somos responsables de los datos que necesitamos para prestar y cobrar el servicio: la empresa cliente y sus personas de contacto, los usuarios de la consola, el registro de su actividad, la facturación, el soporte y los mensajes que nos llegan por el formulario de contacto. De eso trata la mayor parte de esta política.
- Somos encargados del tratamiento de los datos personales que aparecen en los hallazgos: la evidencia enmascarada, las rutas y ubicaciones de los ficheros, su propietario o las alertas de Microsoft Purview. Esos datos son de la empresa cliente, que es su responsable, y solo los tratamos siguiendo sus instrucciones. Lo resumimos en el apartado 5.
03Qué tratamos como responsable y con qué base legal
El RGPD exige una base legal para cada finalidad. Casi todo lo que hacemos es necesario para cumplir el contrato con tu empresa, y lo demás responde a un interés legítimo que explicamos o a una obligación legal.
| Para qué | Qué datos | Base legal | Cuánto tiempo |
|---|---|---|---|
| Dar de alta y gestionar el espacio de tu empresa | Razón social, NIF y país de la empresa; nombre, correo y teléfono de sus personas de contacto y, si nos lo facilitáis, el correo de vuestro delegado de protección de datos | Ejecución del contrato con tu empresa. Para los datos de las personas de contacto, interés legítimo en mantener esa relación (art. 19 LOPDGDD) | Mientras dure el contrato y, después, bloqueados hasta que prescriban las responsabilidades que puedan derivarse de él |
| Crear y mantener las cuentas de usuario de la consola | Nombre, apellidos, correo electrónico, rol en el espacio, contraseña (solo un resumen criptográfico), configuración del segundo factor y, si entras con Microsoft, el identificador que te asigna tu directorio | Ejecución del contrato con tu empresa e interés legítimo en dar acceso a las personas que ella designa | Mientras la cuenta exista. Al suprimirla, el registro de auditoría conserva solo un identificador seudónimo |
| Seguridad del servicio y registro de auditoría | Dirección IP, navegador, fecha y hora de cada inicio de sesión y de cada acción en la consola, el recurso afectado y su resultado. Nunca el contenido analizado | Interés legítimo en proteger el servicio y deber de seguridad del art. 32 RGPD; además, permite a tu empresa demostrar quién hizo qué | Las sesiones, hasta que caducan (7 días) o las cierras. El registro de auditoría es inalterable y se conserva mientras dure el contrato y, después, bloqueado durante el plazo legal de prescripción |
| Cobrar la suscripción y emitir facturas | Nombre y correo de quien gestiona el pago, datos fiscales de la empresa, importes e historial de pagos. Los datos de la tarjeta o de la cuenta bancaria no pasan por nuestros sistemas | Ejecución del contrato y obligaciones legales en materia mercantil y fiscal | Seis años, por la normativa mercantil (art. 30 del Código de Comercio) |
| Atender las consultas de soporte | Lo que nos cuentes en la consulta, los ficheros que adjuntes, tu nombre y tu correo | Ejecución del contrato | Tres años desde el cierre de la consulta |
| Responder al formulario de contacto y a las solicitudes de demo | Nombre, correo de empresa, asunto y mensaje | Interés legítimo en responder a quien se dirige a nosotros y, si pides una oferta, aplicación de medidas precontractuales a tu solicitud | El tiempo necesario para responderte. Si no llega a haber relación comercial, como máximo 12 meses |
Los correos que te enviamos mientras usas el servicio (verificación de la cuenta, avisos de facturación, alertas que tu empresa haya configurado, cambios en las condiciones) forman parte de él y se basan en el mismo contrato.
04Qué no hacemos
No usamos los hallazgos de tu empresa para fines propios. Ni estadísticas comerciales, ni entrenamiento de modelos, ni ninguna otra cosa que tu empresa no nos haya pedido.
No vendemos ni cedemos datos a terceros con fines comerciales, no elaboramos perfiles publicitarios y no tomamos decisiones automatizadas que produzcan efectos jurídicos sobre nadie.
No te enviamos publicidad salvo que lo hayas aceptado expresamente, y cada envío incluye la forma de darte de baja.
No usamos cookies de analítica ni de publicidad. Lo explicamos en la política de cookies.
05Cuando tratamos datos por cuenta de tu empresa
Cuando tu empresa analiza sus sistemas con NeoDLP, los hallazgos pueden contener datos de personas: empleados, clientes, proveedores o cualquiera cuyos datos estén en esos ficheros y bases de datos. De esos datos el responsable es tu empresa, que decide qué se analiza y para qué. Nosotros somos su encargado del tratamiento (art. 28 RGPD).
La minimización empieza en tu red. El análisis lo hace un conector instalado en tu infraestructura. A NeoDLP solo llegan el tipo de dato detectado, la gravedad, la ubicación (ruta, servidor o tabla y columna), el propietario del fichero si el sistema lo informa, el número de coincidencias, una huella criptográfica para no duplicar hallazgos y, según el nivel que fije tu empresa, una evidencia mínima:
- Ninguna: solo el tipo, la ubicación y la gravedad.
- Enmascarada: los cuatro primeros y los cuatro últimos caracteres del valor; el resto se sustituye. En contraseñas y otras credenciales el valor se oculta entero.
- Con contexto: además, unas palabras alrededor de la coincidencia, en las que cualquier otro dato detectado también va enmascarado.
Cada espacio tiene un techo que fijamos de acuerdo con tu empresa al darlo de alta y que ninguna política puede superar. Los documentos, las filas completas de las bases de datos y las contraseñas de tus sistemas no salen nunca de tu red.
Si tu empresa activa la integración con Microsoft Purview, recibimos además las alertas de prevención de pérdida de datos de su Microsoft 365, que pueden incluir el nombre del fichero o el asunto del mensaje, la descripción de la alerta y el nombre de la persona que la provocó.
Esos datos se conservan el plazo que tenga configurado el espacio de tu empresa (365 días por defecto) y se borran automáticamente al cumplirse. Al terminar el contrato, tu empresa puede exportarlos y después los suprimimos de forma verificable, con certificado de borrado.
Si tus datos aparecen en los sistemas de una empresa cliente y quieres ejercer tus derechos, dirígete a esa empresa: es quien decide sobre ellos. Si nos escribes a nosotros, trasladaremos tu solicitud a la empresa y le ayudaremos a atenderla.
Las condiciones de este tratamiento están en el contrato de encargado del tratamiento, que forma parte de las condiciones de contratación. Está disponible bajo solicitud en privacidad@bomontec.net.
06Quién más ve los datos
Para prestar el servicio nos apoyamos en los proveedores de abajo, que tratan datos por cuenta nuestra y bajo contrato: no pueden usarlos para fines propios.
| Proveedor | Para qué | Qué datos | Dónde |
|---|---|---|---|
| Stripe Payments Europe, Ltd. | Cobro de las suscripciones y emisión de facturas | Nombre y correo de quien gestiona el pago, datos fiscales de la empresa e importes. Los datos de la tarjeta o de la cuenta para domiciliación SEPA los recoge Stripe directamente: NeoDLP no los ve ni los almacena en ningún momento. | Irlanda (Unión Europea), con transferencias a Estados Unidos amparadas en el Marco de Privacidad de Datos UE-EE. UU. |
Microsoft, solo si tu empresa lo activa. El inicio de sesión con Microsoft Entra ID y la integración con Purview funcionan con el registro de aplicación de tu propia empresa en su directorio. Microsoft actúa entonces bajo el contrato que tu empresa tiene con Microsoft, no por cuenta nuestra.
Los destinos de alertas que configure tu empresa (direcciones de correo, webhooks o su SIEM) son sistemas suyos o de quien ella elija: los datos se envían allí porque tu empresa lo ha indicado.
También podemos tener que comunicar datos a jueces y tribunales, a las Fuerzas y Cuerpos de Seguridad o a la Administración tributaria cuando una norma nos obligue.
07Dónde están los datos
Los datos del servicio se alojan en la Unión Europea, en la región de datos eu-es, que es la que tiene asignada cada espacio.
La única transferencia internacional es la que puede hacer Stripe a Estados Unidos para procesar los pagos, amparada en el Marco de Privacidad de Datos UE-EE. UU. y, en su defecto, en las cláusulas contractuales tipo aprobadas por la Comisión Europea. Los datos de los hallazgos no se transfieren fuera de la Unión Europea.
08Cómo protegemos los datos
- Todo el tráfico entre tu navegador, el conector y NeoDLP viaja cifrado con TLS. El conector solo abre conexiones de salida: no hay que abrir ningún puerto en tu red.
- Cada empresa está aislada. La empresa se deduce de quién ha iniciado sesión, nunca de lo que envía el navegador, y la base de datos aplica además seguridad a nivel de fila, de modo que una consulta solo puede devolver datos de su propio espacio.
- Cada conector tiene su propia clave, ligada a su empresa, y solo ejecuta trabajos firmados digitalmente por NeoDLP.
- Las contraseñas no se guardan: se guarda un resumen criptográfico. Puedes activar la verificación en dos pasos y, en el plan Enterprise, entrar con la cuenta corporativa de tu directorio.
- Los secretos de las integraciones se guardan cifrados y no vuelven a mostrarse.
- Cada acción queda en un registro de auditoría inalterable: la base de datos rechaza modificarlo o borrarlo, y cada entrada se encadena con la anterior para que cualquier manipulación se detecte.
- La base de datos y el almacén de evidencias no están expuestos a internet, y el acceso administrativo está limitado a personal autorizado y sujeto a confidencialidad.
09Tus derechos
Respecto de los datos de los que somos responsables, puedes ejercer en cualquier momento:
- Acceso: saber qué datos tuyos tratamos.
- Rectificación: corregir los que sean inexactos.
- Supresión: pedir que los borremos.
- Oposición: oponerte a los tratamientos basados en nuestro interés legítimo.
- Portabilidad: recibirlos en un formato que puedas llevarte.
- Limitación: pedir que solo los conservemos mientras se resuelve una reclamación.
Desde la consola, en Seguridad, puedes descargar tus datos y eliminar tu cuenta sin escribirnos. Si tu cuenta la gestiona tu empresa (por ejemplo, porque entras con Microsoft), algunas solicitudes tendremos que coordinarlas con su administrador. Para todo lo demás, escríbenos a privacidad@bomontec.net y te responderemos en el plazo máximo de un mes.
Cuando suprimes tu cuenta, borramos tus datos personales. El registro de auditoría no se puede borrar, porque es la prueba de lo que ocurrió en el espacio de tu empresa: en él tu nombre y tu correo se sustituyen por un identificador seudónimo que ya no permite saber quién eres sin información adicional que no conservamos.
Si crees que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es). Preferiríamos que hablaras antes con nosotros, pero es tu derecho y no necesitas nuestro permiso.
10Qué pasa cuando termina el contrato
Tu empresa dispone de 30 días para exportar sus hallazgos e informes. Pasado ese plazo suprimimos los datos de su espacio y, si lo pide, le entregamos un certificado de borrado.
Solo conservamos, bloqueados, las facturas y el registro de auditoría durante los plazos que exige la ley: únicamente serían accesibles si los reclamara un juez o una administración con competencia para ello.
11Cambios en esta política
Si cambiamos algo relevante, avisaremos por correo a las personas de contacto de cada empresa cliente antes de que entre en vigor. La fecha de arriba indica la última revisión.