Política de privacidad

Última actualización: 11 de septiembre de 2026

1. Introducción

SafeOrFake («nosotros», «nuestro») opera el sitio web safeorfake.com y el servicio de seguridad de correo electrónico SafeOrFake. Esta política de privacidad explica cómo recopilamos, utilizamos, divulgamos y protegemos su información cuando utiliza nuestro servicio.

2. Información que recopilamos

2.1 Datos de análisis de correos electrónicos

Cuando reenvía un correo electrónico a nuestra dirección de análisis (check@safeorfake.com), procesamos los siguientes datos para proporcionar el análisis de amenazas:

  • Cabeceras de correo electrónico (remitente, destinatario, información de enrutamiento)
  • Línea de asunto y contenido del cuerpo del correo electrónico
  • URL y enlaces contenidos en el correo electrónico
  • Metadatos de archivos adjuntos (nombres de archivo, tipos, tamaños)

En cuanto le entregamos su informe, el mensaje reenviado se destruye en nuestro servidor de correo y su contenido se suprime de nuestros registros: la dirección del remitente, el asunto, el cuerpo, los enlaces, las cabeceras y la lista de archivos adjuntos. Solo queda evidencia de campaña que no identifica a nadie: la fecha de recepción, el nivel de riesgo, los resultados SPF, DKIM y DMARC, la dirección a la que iba dirigido el mensaje (normalmente nuestro propio buzón de análisis) y una huella irreversible de su estructura. Si un informe no se puede entregar, la misma supresión se ejecuta automáticamente a los 7 días. El registro restante se elimina definitivamente a los 90 días.

2.2 Datos de cuenta / registro

Al crear una cuenta, los datos personales (nombre y dirección de correo electrónico) se recopilan a través de nuestro proveedor de identidad (Keycloak). Los registros de cuenta y contacto se sincronizan con nuestro sistema CRM (Hub) para gestionar el acceso y las notificaciones de su organización.

  • Nombre
  • Dirección de correo electrónico

2.3 Datos analíticos

Utilizamos Umami, una plataforma de análisis centrada en la privacidad, para recopilar estadísticas de uso anónimas. Umami no utiliza cookies, no rastrea a los usuarios entre sitios web y no recopila información de identificación personal. Recopilamos datos agregados como páginas vistas, fuentes de referencia y tipo de navegador.

2.4 Datos sobre otras personas contenidos en un correo reportado

Un mensaje que se nos reenvía casi siempre contiene datos personales de personas que nunca nos han contactado: el remitente aparente, las direcciones citadas en el cuerpo y cualquier persona nombrada en el mensaje original. Los tratamos para identificar el phishing y para proteger a las personas y a las marcas suplantadas. Lo que lo permite es nuestro interés legítimo, conforme al artículo 6(1)(f) del RGPD y al considerando 49, que reconoce la seguridad de las redes y de la información como tal interés.

No podemos informar individualmente a esas personas. Las direcciones de remitente de los mensajes de phishing se falsifican habitualmente, no disponemos de ninguna vía fiable para contactar con la persona real que hay detrás, y escribir a una dirección extraída de un señuelo de phishing constituiría en sí mismo un uso nuevo y no deseado de sus datos. Por ello nos acogemos al artículo 14(5)(b) del RGPD, que lo permite cuando la información individual resulta imposible o exigiría un esfuerzo desproporcionado, a condición de que la información se haga pública en su lugar. Esta sección es esa publicación.

Estos datos son efímeros. Se expurgan exactamente como se describe en la sección 2.1, en cuanto se entrega el informe y, en todo caso, dentro del plazo allí indicado. Si cree que un mensaje que hemos analizado contiene sus datos personales, escríbanos y atenderemos su solicitud: contact@safeorfake.com .

3. Cómo utilizamos su información

  • Analizar correos electrónicos en busca de amenazas de phishing y entregarle los resultados
  • Detectar y rastrear campañas de phishing dirigidas a marcas específicas
  • Alertar a las empresas cuando su marca está siendo suplantada
  • Responder a sus consultas y solicitudes de contacto
  • Mejorar nuestro servicio y nuestras capacidades de detección

3.1 Bases jurídicas del tratamiento

  • Ejecución de un contrato (artículo 6(1)(b) del RGPD) — analizar el mensaje que nos reenvía, enviarle el resultado y gestionar su cuenta si tiene una.
  • Intereses legítimos (artículo 6(1)(f) del RGPD) — detectar y rastrear campañas de phishing, avisar a las marcas suplantadas y mantener seguro el propio servicio. El considerando 49 del RGPD reconoce la seguridad de las redes y de la información como interés legítimo.

4. Compartición de datos

No vendemos, alquilamos ni compartimos su información personal con terceros con fines comerciales. Podemos compartir datos de campañas anonimizados y agregados con las marcas suplantadas para ayudarles a proteger a sus clientes.

Nuestra aplicación, su base de datos y su servidor de correo funcionan en infraestructura que alquilamos a Infomaniak, en Suiza. La Comisión Europea reconoce que Suiza ofrece un nivel adecuado de protección de datos, por lo que almacenar allí sus datos no constituye una transferencia que requiera garantías adicionales.

Varios componentes del servicio —nuestro servidor de correo (Stalwart), nuestro proveedor de identidad (Keycloak), nuestra pasarela de IA (LiteLLM), nuestro CRM (Hub) y nuestra analítica (Umami)— son software que gestionamos nosotros mismos en esa misma infraestructura. No son empresas independientes, y su uso no envía sus datos a ningún otro lugar.

Los siguientes terceros reciben datos personales por cuenta nuestra:

  • Infomaniak (Suiza) — aloja la aplicación, su base de datos y su servidor de correo. Todo lo descrito en esta política se almacena en infraestructura que dicha empresa opera.
  • Mistral AI (Francia) — proporciona el modelo de IA que analiza un mensaje reportado. El contenido del mensaje se le envía a través de nuestra propia pasarela. Está establecida en la Unión Europea, por lo que no se trata de una transferencia de datos personales fuera del Espacio Económico Europeo.
  • Mailgun (Unión Europea) — entrega nuestro correo saliente. Por tanto, recibe su dirección y el texto completo del informe que le enviamos.
  • Sentry (Unión Europea) — recopila informes técnicos de errores para que podamos corregir los fallos. Recibe datos de diagnóstico y, si ha iniciado sesión, su identificador de cuenta, nunca su nombre, su dirección de correo electrónico ni su dirección IP.

5. Conservación de datos

  • Datos de análisis de correos electrónicos: Se suprimen en cuanto le entregamos su informe —véase la sección 2.1— y a más tardar a los 7 días si el informe no se pudo entregar. El registro suprimido se elimina definitivamente a los 90 días.
  • Datos de campaña: Una campaña agrupa los mensajes que comparten una misma huella estructural. Las descripciones del remitente y del asunto que produce nuestro análisis se eliminan 30 días después de que el último mensaje se incorporara a la campaña. La campaña en sí se conserva: no identifica a nadie, y los informes que publicamos para las marcas suplantadas enlazan a ella.
  • Expedientes de retirada: Cuando tramitamos un expediente de retirada con una marca, los nombres y las direcciones de correo de las personas implicadas se eliminan 365 días después del cierre del expediente. Se conserva la constancia de lo que se hizo.
  • Registros de uso de la IA: Un registro de costes con un dominio remitente, una decisión y un precio: sin contenido del mensaje y sin direcciones. Se elimina a los 395 días.
  • Datos de cuenta / registro: Conservados hasta que solicite su eliminación o finalice la relación comercial.
  • Datos analíticos: Datos agregados anónimos conservados de forma indefinida.

6. Cookies

Este sitio utiliza una única cookie de sesión estrictamente necesaria denominada _safeorfake_key. Mantiene su sesión activa y recuerda su preferencia de idioma. No se utilizan cookies de seguimiento ni publicitarias. Nuestra solución de análisis (Umami) no utiliza cookies y no le rastrea entre sitios.

7. Sus derechos (RGPD)

Si usted se encuentra en el Espacio Económico Europeo, tiene derecho a:

  • Acceder a los datos personales que tenemos sobre usted
  • Solicitar la corrección de datos inexactos
  • Solicitar la eliminación de sus datos
  • Oponerse al tratamiento de sus datos o solicitar su limitación
  • Portabilidad de datos
  • Presentar una reclamación ante una autoridad de control

Para ejercer cualquiera de estos derechos, contáctenos en contact@safeorfake.com .

8. Seguridad

Implementamos medidas técnicas y organizativas adecuadas para proteger sus datos, incluidas conexiones cifradas (TLS), almacenamiento seguro en base de datos y controles de acceso. Sin embargo, ningún método de transmisión o almacenamiento electrónico es 100 %% seguro.

9. Contacto

Para cualquier pregunta sobre esta política de privacidad, contáctenos en: contact@safeorfake.com