Política de privacidad de Petra Shield

•••, Ijbruglaan 1495, 1087 KM Ámsterdam, Países Bajos. Contacto para asuntos de privacidad: [email protected]. Los datos de la empresa figuran en nuestro aviso legal.

Tu caja fuerte se cifra en tu dispositivo con AES-256-GCM. La clave se guarda en el Llavero de iOS (Keychain) o en el Android Keystore. Con Pro puedes sincronizar la caja fuerte entre iPhone, iPad y Mac a través de tu almacenamiento privado de iCloud; los datos siguen cifrados durante todo el proceso. No tenemos acceso a la caja fuerte ni recibimos datos de ella. Shield no tiene cuenta, ni seguimiento, ni herramientas de análisis, ni SDK publicitarios.

Contenido de la caja fuerte: contraseñas, secretos 2FA (TOTP), claves API y los datos asociados, como título, nombre de usuario y dirección web. Estos datos se procesan en tu dispositivo y se guardan cifrados. Base jurídica: contrato, art. 6, apartado 1, letra b) RGPD.

Archivo de copia de seguridad: si exportas una caja fuerte, el archivo se cifra con tu contraseña de copia de seguridad. Tú decides dónde se guarda. Petra no conserva ninguna copia.

Sin cuenta y sin servidor de Petra: Shield no crea ninguna cuenta y no tiene ningún servidor que almacene datos de la caja fuerte.

Con Pro, Shield sincroniza las entradas de la caja fuerte entre iPhone, iPad y Mac. Para ello, la app guarda la caja fuerte ya cifrada en tu almacenamiento privado de iCloud (almacenamiento clave-valor) de Apple. La clave de la caja fuerte se sincroniza a través del Llavero de iCloud, que Apple cifra de extremo a extremo. No interviene ningún servidor de Petra. Ni ••• ni Apple pueden leer el contenido. Para la transmisión y el almacenamiento en iCloud se aplican las políticas de privacidad de Apple. Base jurídica: contrato, art. 6, apartado 1, letra b) RGPD.

Android: no hay sincronización. La caja fuerte permanece en el dispositivo Android correspondiente.

Además de iCloud (apartado 4), Shield solo establece las siguientes conexiones. Para cada una de ellas se aplica la política de privacidad del destinatario correspondiente, en la medida en que sea responsable por sí mismo.

• Comprobación de filtraciones: cuando inicias la comprobación, o cuando en Pro se ejecuta el escaneo automático, Shield calcula en tu dispositivo un hash SHA-1 de la contraseña. Solo los primeros 5 caracteres del hash se envían al servicio Have I Been Pwned (api.pwnedpasswords.com). El servicio responde con todos los hashes conocidos que empiezan por ese prefijo, y la comparación se realiza en tu dispositivo. La solicitud incluye relleno (padding). Como en cualquier conexión, el dispositivo transmite en ese proceso su dirección IP. Base jurídica: contrato, art. 6, apartado 1, letra b) RGPD.
• Iconos de sitios web: para una entrada con dirección web, Shield carga el archivo /favicon.ico directamente desde ese dominio para mostrar el icono. Al hacerlo, el operador del sitio web ve la dirección IP de tu dispositivo y que se ha solicitado el icono. Petra no recibe nada de esto. Base jurídica: interés legítimo en mostrar iconos, art. 6, apartado 1, letra f) RGPD.
• Compras y suscripciones: su tramitación corre a cargo de Apple (App Store) o Google (Google Play), conforme a sus políticas de privacidad. Shield solo recibe de la tienda el estado de la autorización, es decir, si Pro está activo. No recibimos datos de pago. Base jurídica: contrato, art. 6, apartado 1, letra b) RGPD.

Cámara: Shield usa la cámara solo para escanear códigos QR, por ejemplo al añadir una cuenta de autenticación. El análisis se realiza en tu dispositivo. Las imágenes no se guardan ni se transmiten.

Biometría: Face ID, Touch ID o la huella dactilar los verifica el sistema operativo. Shield no recibe datos biométricos.

Autorrelleno del sistema: para que aparezcan sugerencias en el autorrelleno de tu sistema, Shield no entrega al sistema operativo identificadores secretos: ID de entrada, dominio y nombre de usuario o título. Las contraseñas y códigos solo se descifran después de que confirmes con Face ID, Touch ID o huella dactilar. Base jurídica: contrato, art. 6, apartado 1, letra b) RGPD.

Las capturas de pantalla se bloquean en la app.

Petra (•••) no recibe datos de la caja fuerte y no tiene acceso a ellos. No existe ningún servidor de Petra para datos de la caja fuerte y, por tanto, tampoco un encargado del tratamiento para ellos.

Fuera de tu dispositivo, los datos solo llegan a los destinatarios del apartado 5: Have I Been Pwned en la comprobación de filtraciones, el operador de un sitio web al recuperar su icono, y Apple o Google en las compras. Con Pro se suma Apple para la sincronización con iCloud (apartado 4). No vendemos datos ni los transmitimos con fines publicitarios.

Los datos de la caja fuerte permanecen en tu dispositivo hasta que los borres en Shield. Al eliminar la app, la caja fuerte se elimina del dispositivo. Con Pro, además, queda una copia cifrada en tu almacenamiento de iCloud, que permanece allí hasta que la elimines. No hay copia en nuestros servidores, por lo que no podemos suprimir ni restaurar datos de la caja fuerte. Los archivos de copia de seguridad exportados permanecen donde los guardaste.

Tienes los derechos habituales del RGPD: acceso (art. 15), rectificación (art. 16), supresión (art. 17), limitación (art. 18), portabilidad de los datos (art. 20) y oposición (art. 21). Como Petra no trata datos personales tuyos en nuestros servidores, las solicitudes suelen referirse a compras y suscripciones. Para ello, dirígete a Apple o Google. Para todo lo demás, escribe a [email protected].

Puedes presentar una reclamación ante una autoridad de control, en particular en el Estado miembro de la UE en el que vives o trabajas. Nuestra autoridad principal es la Autoriteit Persoonsgegevens (Dutch Data Protection Authority), autoriteitpersoonsgegevens.nl.