Acuerdo de tratamiento de datos de MailSolid
Partes y alcance
Este acuerdo forma parte de los Términos del servicio. Se aplica cuando un negocio que usa MailSolid (el cliente, como responsable) hace que Digital Checkmark LLC (MailSolid, como encargado) trate datos personales por su cuenta. No cubre los datos de las cuentas de la consola, de los que Digital Checkmark LLC es responsable según la Política de privacidad.
Finalidad
MailSolid trata datos personales solo para prestar el servicio contratado: comprobar y vigilar los dominios del cliente, recibir y explicar sus informes agregados de DMARC y sus informes TLS, analizar los mensajes que sube, hacer pruebas reales de correo, publicar las políticas alojadas que configura, enviar sus avisos y resúmenes y hacer funcionar las herramientas públicas que pone en su propio sitio web.
Datos e interesados
- Interesados: quienes envían correo como los dominios del cliente, las personas cuyos mensajes el cliente sube o envía a una dirección de prueba real, quienes dejan su correo en las herramientas públicas del cliente y el equipo del cliente.
- Datos: direcciones IP y nombres de servidores de los informes DMARC y TLS; las cabeceras y el contenido visible de los mensajes analizados (el mensaje se borra antes de 24 horas, y el informe que se guarda no incluye el cuerpo ni el contenido de los adjuntos); los correos que se dejan en las herramientas públicas y su verificación; los nombres, correos y roles del equipo.
- Categorías especiales: el servicio no está pensado para datos sensibles. El cliente no debe subir mensajes cuyo contenido no tenga derecho a tratar.
Nuestras obligaciones
- Tratar los datos solo según las instrucciones documentadas del cliente: estos términos y lo que configure en la consola.
- Limitar el acceso a las personas que lo necesitan para prestar el servicio, con deber de confidencialidad. Cuando el personal de MailSolid actúa en un espacio, la acción queda registrada y su dueño la ve durante 365 días.
- Aplicar las medidas de seguridad del anexo.
- Usar solo los subprocesadores de la lista de Subprocesadores, con condiciones que protejan los datos al menos como este acuerdo. Avisamos con 30 días antes de añadir uno nuevo, y el cliente puede oponerse.
- Ayudar al cliente a atender las solicitudes de los interesados. La consola le deja exportar sus contactos, quitar un dominio del espacio y eliminar espacios enteros; para lo demás actuamos a petición suya por escrito.
- Avisar al cliente sin demora indebida después de confirmar una brecha que afecte a sus datos, con lo que se sepa y lo que estemos haciendo.
- Al terminar el servicio, borrar los datos: un espacio eliminado se puede recuperar durante 7 días y después se purga con sus datos. Antes, el cliente puede exportar lo que necesite.
- Dar la información necesaria para demostrar el cumplimiento de este acuerdo y permitir auditorías razonables, con aviso previo y a cargo del cliente.
Obligaciones del cliente
El cliente debe tener una base legal para los datos que trata con MailSolid, informar a las personas afectadas (por ejemplo en su propia política de privacidad, a la que pueden enlazar las herramientas públicas), vigilar solo los dominios que tenga autorización para vigilar y elegir los servicios que conecta, que son responsabilidad suya.
IA
La segunda opinión con IA está apagada de fábrica. Si el cliente la enciende, MailSolid envía a Anthropic el texto visible del mensaje analizado, con los datos personales tapados, y los hechos que encontró su propio motor, nunca los adjuntos. MailSolid no usa los datos del cliente para entrenar modelos de IA.
Transferencias internacionales
Los datos pueden tratarse en Estados Unidos y en los demás países donde operan los subprocesadores. Si el cliente necesita garantías de transferencia concretas, como cláusulas contractuales tipo, debe escribirnos antes de aportar esos datos a privacy@mailsolid.com; no afirmamos que un mecanismo se aplique automáticamente a todos los casos.
Anexo: medidas de seguridad
- TLS en todas las conexiones; datos en reposo cifrados por el proveedor de alojamiento; los secretos de los destinos de avisos y las claves de la app de autenticación, cifrados con claves propias.
- Cada espacio en su propio almacén aislado. Cada pedido comprueba la sesión y la pertenencia, y quien no es del espacio recibe un "no encontrado".
- Roles (dueño, administrador, miembro), sesiones que vencen, verificación en dos pasos y llaves de acceso, y una entrada reciente o un segundo factor para las acciones delicadas.
- Límites de uso, una verificación de persona en las herramientas públicas y mensajes firmados entre el servicio y sus nodos de correo.
- Los mensajes subidos se borran antes de 24 horas; registro de actividad de 180 días en cada espacio.