Política de privacidad

“Musha Security” (“Musha”, “nosotros”) opera, bajo la legislación de la República de Colombia, la plataforma de detección de vulnerabilidades disponible en mushasec.com y app.mushasec.com. Esta política te cuenta qué datos personales recopilamos, cómo los usamos, con quién los compartimos y qué derechos tienes sobre ellos. Está pensada para cumplir con la Ley 1581 de 2012 de Colombia y su Decreto Reglamentario 1377 de 2013, así como con el GDPR de la Unión Europea para usuarios del Espacio Económico Europeo.

01. Responsable del tratamiento

Nombre comercial	Musha Security
Domicilio	Bogotá D.C., Colombia
Sitio web	mushasec.com
Correo de privacidad	[email protected]
Correo legal / notificaciones	[email protected]

La identificación legal completa del responsable (razón social, registros, NIT, dirección física) se entrega por escrito a clientes que firmen un contrato del Servicio, a titulares que ejerzan derechos de Habeas Data ante autoridades, o a autoridades competentes (SIC, DIAN, juzgados) previa solicitud a [email protected].

02. Datos personales que recopilamos

A. De usuarios registrados (Cliente):

• Nombre, email, foto de perfil (provistos al momento del registro)
• Organización a la que perteneces y tu rol (owner / admin / member)
• Datos de actividad: fechas y horas de inicio de sesión, acciones realizadas en la plataforma, IP de origen
• Preferencias de configuración (notificaciones, plan, idioma)

B. De la operación del servicio:

• Tokens OAuth de tus integraciones (GitHub, GitLab, Azure DevOps, Bitbucket), cifrados con AES-256-GCM en reposo
• URLs de repositorios, nombres de ramas, identificadores de pull requests
• Hallazgos de vulnerabilidades detectadas (ruta del archivo, número de línea, identificador de regla, severidad). No almacenamos código fuente.
• Cuando alguien de tu organización abre un hallazgo, el token que otorgaste lee las líneas alrededor. Esas líneas no se almacenan, cada lectura queda registrada y un administrador puede desactivarlo.
• Registro de auditoría de todas las acciones (quién hizo qué y cuándo)

C. De facturación:

• Información de facturación procesada por un tercero autorizado que actúa como vendedor frente al Cliente (nombre, dirección, país). Musha no almacena directamente datos de tarjeta.
• Estado de la suscripción (plan, ciclo de facturación, próxima fecha de cobro)

D. De visitantes del sitio web:

• Datos del formulario de contacto Enterprise (nombre, email corporativo, tamaño de equipo, mensaje)
• Datos de navegación recopilados automáticamente (IP, user agent, páginas visitadas)

E. Datos sensibles:

Musha no recopila datos sensibles según el artículo 5 de la Ley 1581 de 2012 (datos de salud, orientación sexual, ideología política, convicciones religiosas, datos biométricos, etc.). Si en algún momento futuro requerimos recopilar alguno, te solicitaremos autorización expresa y separada, indicándote claramente qué dato sensible y para qué finalidad.

03. Autorización del titular

De conformidad con el artículo 9 de la Ley 1581 de 2012 y el artículo 5 del Decreto 1377 de 2013, tu autorización para el tratamiento de los datos personales descritos en esta política se obtiene de forma libre, previa, expresa, informada e inequívoca al momento de:

• Crear una cuenta en app.mushasec.com, mediante la marcación obligatoria de la casilla de aceptación de los Términos del Servicio y esta Política de Privacidad durante el registro.
• Enviar el formulario de contacto Enterprise en mushasec.com, que incluye un aviso visible de aceptación del tratamiento de datos.
• Conectar una integración OAuth (GitHub, GitLab, Azure DevOps, Bitbucket): el consentimiento se otorga al autorizar los permisos OAuth solicitados.

Esta autorización es revocable en cualquier momento escribiéndonos a [email protected]. La revocación no afectará la licitud del tratamiento basado en el consentimiento previo a su revocación, pero implicará la terminación del Servicio si el tratamiento es indispensable para prestarlo.

04. Finalidades del tratamiento

Los datos personales se utilizan para:

• Prestar el servicio de análisis de vulnerabilidades (SAST, SCA, IaC y Secret Scanning) para los repositorios que has conectado
• Notificarte sobre vulnerabilidades detectadas, análisis completados o fallidos y cambios de severidad
• Procesar pagos y gestionar tu suscripción a través de un tercero autorizado
• Proveer soporte técnico cuando lo solicites
• Cumplir obligaciones legales y contractuales
• Mejorar el producto mediante analítica agregada y anónima (no individualizada)

No vendemos tus datos a terceros. No los usamos para publicidad fuera de Musha. Y no compartimos tu código fuente con nadie, bajo ningún concepto.

05. Base legal del tratamiento

• Ejecución de contrato: para prestarte el servicio que contrataste (GDPR Art. 6(1)(b))
• Interés legítimo: para seguridad de la plataforma, prevención de fraude y mejora del producto (GDPR Art. 6(1)(f))
• Consentimiento: para comunicaciones de marketing opt-in y cookies de analítica (GDPR Art. 6(1)(a) + Ley 1581 Art. 9)
• Obligación legal: para retención de registros fiscales y contables (GDPR Art. 6(1)(c))

06. Derechos del titular

De conformidad con el artículo 8 de la Ley 1581 de 2012 y los artículos 15 a 22 del GDPR, tienes los siguientes derechos:

• Acceso: conocer qué datos personales tenemos sobre ti
• Rectificación: actualizar datos incorrectos o desactualizados
• Supresión (derecho al olvido): solicitar la eliminación de tus datos
• Portabilidad: recibir tus datos en formato estructurado (JSON / CSV)
• Oposición: oponerte al tratamiento basado en interés legítimo
• Limitación: solicitar que pausemos el tratamiento temporalmente
• Revocación del consentimiento: retirar el consentimiento dado para fines específicos
• Quejas ante la autoridad: presentar quejas ante la SIC (Colombia) o tu autoridad de protección de datos local

Para ejercer estos derechos, escribe a [email protected] con el asunto “Habeas Data - [tu nombre]”. Responderemos en máximo 10 días hábiles (Colombia, Art. 14 Ley 1581) o 30 días (GDPR, Art. 12.3), prorrogables 5 días hábiles si la complejidad lo requiere, conforme al Art. 21 del Decreto 1377 de 2013.

Decisiones automatizadas: Musha no realiza decisiones automatizadas con efectos jurídicos significativos ni perfiles sobre los titulares de datos en el sentido del artículo 22 del GDPR. El tratamiento es operacional, para prestar el servicio de análisis de seguridad que has contratado.

07. Retención de datos

Mantenemos tus datos personales solo el tiempo necesario para cumplir las finalidades del tratamiento:

• Cuenta activa: mientras tu suscripción esté activa
• Después de cancelar: la cuenta pasa a modo de solo lectura durante 30 días. Puedes ingresar y consultar tu información, pero no crear análisis ni nuevos recursos. Cinco días antes del borrado avisamos por correo a los administradores. El día 31 los datos se eliminan de forma definitiva y automática mediante un proceso programado.
• Registros tributarios: 5 años conforme a las obligaciones ante la DIAN (Estatuto Tributario Art. 632)
• Registros de auditoría anonimizados: hasta 7 años para defensa legal y obligaciones de seguridad de la información

08. Seguridad

Implementamos medidas técnicas y organizativas estándar de la industria: cifrado en reposo y en tránsito, aislamiento multi-tenant a nivel de base de datos, control de acceso por roles, registro de auditoría completo, MFA disponible para los usuarios y proveedores auditados. El detalle técnico (algoritmos específicos, arquitectura, controles SOC 2) está disponible bajo solicitud a [email protected] para clientes y prospectos bajo acuerdo de confidencialidad.

09. Cookies y tecnologías similares

Usamos cookies estrictamente necesarias para autenticación (gestión de sesión) y prevención de CSRF; estas no requieren consentimiento. Las cookies de analítica, si las activamos en el futuro, requerirán consentimiento explícito mediante un aviso. No usamos cookies de publicidad de terceros.

10. Menores de edad

Musha es un servicio B2B para empresas. No está dirigido a menores de 18 años, no aceptamos registros individuales y no recopilamos conscientemente datos de menores. Si descubres que un menor ha proporcionado datos por error, escribe a [email protected] y los eliminaremos en máximo 10 días hábiles.

11. DMCA y propiedad intelectual de terceros

Musha respeta los derechos de propiedad intelectual de terceros. Si crees que contenido en mushasec.com o en hallazgos detectados por nuestro Servicio infringe tus derechos de autor, envía un reporte DMCA conforme a 17 U.S.C. § 512 a:

Agente DMCA	Musha Security
Email	[email protected]
Asunto	DMCA Notice - [URL]

El reporte debe incluir: identificación del contenido infringido, ubicación del contenido en Musha, tus datos de contacto, declaración de buena fe y firma electrónica.

12. Modificaciones

Podemos modificar esta política. Los cambios sustanciales se notifican con al menos 60 días de anticipación a tu email registrado, plazo consistente con la notificación de modificaciones de los Términos del Servicio. Si no aceptas los cambios, puedes ejercer tu derecho de cancelación de la suscripción antes de la fecha efectiva. El uso continuado del servicio después de la fecha efectiva implica aceptación de las modificaciones.

13. Contacto

Privacidad y datos personales	[email protected]
Seguridad y divulgación de vulnerabilidades	[email protected]
Soporte general	[email protected]
Autoridad de control (Colombia)	Superintendencia de Industria y Comercio - sic.gov.co