POLÍTICA DE
PRIVACIDAD PRIVACY
POLICY

← Volver al inicio ← Back to home

"Musha Security" ("Musha", "nosotros") opera, bajo la legislación de la República de Colombia, la plataforma de detección de vulnerabilidades disponible en mushasec.com y app.mushasec.com. Esta política te cuenta qué datos personales recopilamos, cómo los usamos, con quién los compartimos y qué derechos tienes sobre ellos. Está pensada para cumplir con la Ley 1581 de 2012 de Colombia y su Decreto Reglamentario 1377 de 2013, así como con el GDPR de la Unión Europea para usuarios del Espacio Económico Europeo. "Musha Security" ("Musha", "we") operates, under the laws of the Republic of Colombia, the vulnerability detection platform available at mushasec.com and app.mushasec.com. This policy explains what personal data we collect, how we use it, who we share it with, and the rights you have over it. It's written to comply with Colombia's Law 1581 of 2012 and its regulatory decree 1377 of 2013, as well as the EU's GDPR for users in the European Economic Area.

01 Responsable del TratamientoData Controller

Nombre comercialCommercial name	Musha Security
DomicilioAddress	Bogotá D.C., Colombia
Sitio webWebsite	mushasec.com
Correo de privacidadPrivacy email	[email protected]
Correo legal / notificacionesLegal email / notifications	[email protected]

La identificación legal completa del responsable (razón social, registros, NIT, dirección física) se entrega por escrito a clientes que firmen un contrato del Servicio, a titulares que ejerzan derechos Habeas Data ante autoridades, o a autoridades competentes (SIC, DIAN, juzgados) previa solicitud a [email protected].The full legal identification of the controller (legal name, registrations, tax ID, physical address) is provided in writing to customers who sign a Service contract, to data subjects exercising Habeas Data rights before authorities, or to competent authorities (SIC, DIAN, courts) upon written request to [email protected].

02 Datos Personales que RecopilamosPersonal Data We Collect

A. De usuarios registrados (Cliente):A. From registered users (Customer):

• Nombre, email, foto de perfil (provistos al momento del signup)Name, email, profile photo (provided at signup)
• Organización a la que perteneces y tu rol (owner / admin / member)Organization you belong to and your role (owner / admin / member)
• Datos de actividad: timestamps de login, acciones realizadas en la plataforma, IP de origenActivity data: login timestamps, actions performed on the platform, source IP
• Preferencias de configuración (notificaciones, tier, idioma)Configuration preferences (notifications, tier, language)

B. De la operación del servicio:B. From service operation:

• Tokens OAuth de tus integraciones (GitHub, GitLab, Azure DevOps, Bitbucket) — cifrados AES-256-GCM at restOAuth tokens from your integrations (GitHub, GitLab, Azure DevOps, Bitbucket) — encrypted AES-256-GCM at rest
• URLs de repositorios, nombres de branches, IDs de pull requestsRepository URLs, branch names, pull request IDs
• Findings de vulnerabilidades detectadas (path del archivo, número de línea, rule ID, severity) — no almacenamos código fuenteDetected vulnerability findings (file path, line number, rule ID, severity) — we do not store source code
• Audit log de todas las acciones (quién hizo qué y cuándo)Audit log of all actions (who did what and when)

C. De facturación:C. For billing:

• Información de facturación procesada por un tercero autorizado que actúa como vendedor frente al Cliente (nombre, dirección, país) — Musha NO almacena directamente datos de tarjetaBilling information processed by an authorized third party acting as seller to the Customer (name, address, country) — Musha does NOT directly store card data
• Estado de la suscripción (tier, billing cycle, próxima fecha de cobro)Subscription status (tier, billing cycle, next billing date)

D. De visitantes del sitio web:D. From website visitors:

• Datos del formulario de contacto Enterprise (nombre, email corporativo, tamaño de equipo, mensaje)Enterprise contact form data (name, corporate email, team size, message)
• Datos de navegación recopilados automáticamente (IP, user agent, páginas visitadas)Browsing data collected automatically (IP, user agent, pages visited)

E. Datos sensibles:E. Sensitive data:

Musha no recopila datos sensibles según el artículo 5 de la Ley 1581 de 2012 (datos de salud, orientación sexual, ideología política, convicciones religiosas, datos biométricos, etc.). Si en algún momento futuro requerimos recopilar alguno, te solicitaremos autorización expresa y separada, indicándote claramente qué dato sensible y para qué finalidad.Musha does not collect sensitive data as defined in Article 5 of Colombian Law 1581 of 2012 (health data, sexual orientation, political ideology, religious beliefs, biometric data, etc.). If we ever need to collect any in the future, we will request your express and separate authorization, clearly indicating which sensitive data and for what purpose.

03 Autorización del TitularData Subject Authorization

De conformidad con el artículo 9 de la Ley 1581 de 2012 y el artículo 5 del Decreto 1377 de 2013, tu autorización para el tratamiento de los datos personales descritos en esta política se obtiene de forma libre, previa, expresa, informada e inequívoca al momento de:In accordance with Article 9 of Colombian Law 1581 of 2012 and Article 5 of Decree 1377 of 2013, your authorization for the processing of personal data described in this policy is obtained freely, in advance, expressly, informed, and unequivocally at the moment of:

• Crear una cuenta en app.mushasec.com — mediante la marcación obligatoria del checkbox de aceptación de los Términos del Servicio y esta Política de Privacidad durante el flujo de signup.Creating an account at app.mushasec.com — by mandatory check of the acceptance checkbox of the Terms of Service and this Privacy Policy during signup.
• Enviar el formulario de contacto Enterprise en mushasec.com — incluyendo aviso visible de aceptación de tratamiento de datos.Submitting the Enterprise contact form on mushasec.com — including visible acceptance notice of data processing.
• Conectar una integración OAuth (GitHub, GitLab, Azure DevOps, Bitbucket) — el consentimiento se otorga al autorizar los permisos OAuth solicitados.Connecting an OAuth integration (GitHub, GitLab, Azure DevOps, Bitbucket) — consent is granted by authorizing the requested OAuth permissions.

Esta autorización es revocable en cualquier momento escribiéndonos a [email protected]. La revocación no afectará la licitud del tratamiento basado en el consentimiento previo a su revocación, pero implicará la terminación del Servicio si el tratamiento es indispensable para prestarlo.This authorization is revocable at any time by writing to [email protected]. Revocation will not affect the lawfulness of processing based on consent prior to revocation, but will imply termination of the Service if processing is essential to providing it.

04 Finalidades del TratamientoPurposes of Processing

Los datos personales se utilizan para:Personal data is used to:

• Prestar el servicio de scanning de vulnerabilidades (SCA, IaC, Secrets) para los repositorios que has conectadoDeliver the vulnerability scanning service (SCA, IaC, Secrets) for the repositories you've connected
• Notificarte sobre vulnerabilidades detectadas, scans completados o fallidos, y cambios de severityNotify you about detected vulnerabilities, completed or failed scans, and severity changes
• Procesar pagos y gestionar tu suscripción a través de un tercero autorizadoProcess payments and manage your subscription through an authorized third party
• Proveer soporte técnico cuando lo solicitesProvide technical support when you request it
• Cumplir obligaciones legales y contractualesFulfill legal and contractual obligations
• Mejorar el producto mediante analytics agregados y anónimos (no individualizados)Improve the product through aggregated and anonymous analytics (not individualized)

05 Base legal del TratamientoLegal Basis for Processing

• Ejecución de contrato: para prestarte el servicio que contrataste (GDPR Art. 6(1)(b))Contract performance: to provide the service you contracted (GDPR Art. 6(1)(b))
• Interés legítimo: para seguridad de la plataforma, prevención de fraude y mejora del producto (GDPR Art. 6(1)(f))Legitimate interest: for platform security, fraud prevention, and product improvement (GDPR Art. 6(1)(f))
• Consentimiento: para comunicaciones de marketing opt-in y cookies de analytics (GDPR Art. 6(1)(a) + Ley 1581 Art. 9)Consent: for opt-in marketing communications and analytics cookies (GDPR Art. 6(1)(a) + Colombian Law 1581 Art. 9)
• Obligación legal: para retención de registros fiscales y contables (GDPR Art. 6(1)(c))Legal obligation: for retention of tax and accounting records (GDPR Art. 6(1)(c))

06 Derechos del Titular / Data Subject RightsData Subject Rights

De conformidad con el artículo 8 de la Ley 1581 de 2012 y los artículos 15-22 del GDPR, tienes los siguientes derechos:Per Article 8 of Colombian Law 1581 of 2012 and Articles 15-22 of GDPR, you have the following rights:

• Acceso: conocer qué datos personales tenemos sobre tiAccess: know what personal data we hold about you
• Rectificación: actualizar datos incorrectos o desactualizadosRectification: update incorrect or outdated data
• Supresión / Right to be forgotten: solicitar eliminación de tus datosErasure / Right to be forgotten: request deletion of your data
• Portabilidad: recibir tus datos en formato estructurado (JSON / CSV)Portability: receive your data in structured format (JSON / CSV)
• Oposición: oponerte al tratamiento por interés legítimoObjection: object to processing based on legitimate interest
• Limitación: solicitar que pausemos el tratamiento temporalmenteRestriction: request we pause processing temporarily
• Revocación del consentimiento: retirar el consentimiento dado para fines específicosWithdraw consent: withdraw consent given for specific purposes
• Quejas ante autoridad: presentar quejas ante la SIC (Colombia) o tu autoridad de protección de datos localComplaints to authority: file complaints with the SIC (Colombia) or your local data protection authority

Para ejercer estos derechos, escribe a [email protected] con asunto "Habeas Data — [tu nombre]". Responderemos en máximo 10 días hábiles (Colombia, Art. 14 Ley 1581) / 30 días (GDPR, Art. 12.3), prorrogables 5 días hábiles si la complejidad lo requiere, conforme al Art. 21 del Decreto 1377 de 2013.To exercise these rights, write to [email protected] with subject "Habeas Data — [your name]". We respond within max 10 business days (Colombia, Art. 14 Law 1581) / 30 days (GDPR, Art. 12.3), extendable by 5 business days if complexity requires, per Art. 21 of Decree 1377 of 2013.

07 Retención de DatosData Retention

Mantenemos tus datos personales solo el tiempo necesario para cumplir las finalidades del tratamiento:We retain your personal data only for as long as necessary to fulfill processing purposes:

• Cuenta activa: mientras tu suscripción esté activaActive account: while your subscription is active
• Después de cancelar: el acceso al servicio se suspende inmediatamente. Tus datos se conservan en estado pasivo por 30 días para permitir reactivación o exportación bajo solicitud expresa a [email protected]. Día 31: eliminación definitiva automática mediante proceso programado.After cancellation: Service access is suspended immediately. Your data is retained in a passive state for 30 days to allow reactivation or export upon express request to [email protected]. Day 31: automatic permanent deletion via scheduled process.
• Registros tributarios: 5 años conforme a obligaciones DIAN Colombia (Estatuto Tributario Art. 632)Tax records: 5 years per Colombian DIAN obligations (Tax Statute Art. 632)
• Audit logs anonimizados: hasta 7 años para defensa legal y obligaciones de seguridad de la informaciónAnonymized audit logs: up to 7 years for legal defense and information-security obligations

08 SeguridadSecurity

Implementamos medidas técnicas y organizativas estándar de la industria: encriptación en reposo y en tránsito, aislamiento multi-tenant a nivel de base de datos, control de acceso por roles, audit logging completo, MFA habilitada para los usuarios y proveedores auditados. El detalle técnico (algoritmos específicos, arquitectura, controles SOC 2) está disponible bajo solicitud a [email protected] para clientes y prospects bajo NDA.We implement industry-standard technical and organizational measures: encryption at rest and in transit, multi-tenant isolation at the database level, role-based access control, complete audit logging, MFA available for users, and audited providers. Technical detail (specific algorithms, architecture, SOC 2 controls) is available upon request to [email protected] for customers and prospects under NDA.

09 Cookies y Tecnologías SimilaresCookies and Similar Technologies

Usamos cookies estrictamente necesarias para autenticación (gestión de sesión) y prevención de CSRF — estas no requieren consentimiento. Cookies de analytics (si las activamos en el futuro) requerirán consentimiento explícito via banner. No usamos cookies de publicidad de terceros.We use strictly necessary cookies for authentication (session management) and CSRF prevention — these do not require consent. Analytics cookies (if we activate them in the future) will require explicit consent via banner. We do not use third-party advertising cookies.

10 Menores de EdadMinors

Musha es un servicio B2B para empresas. No está dirigido a menores de 18 años, no aceptamos signups individuales, y no recopilamos conscientemente datos de menores. Si descubres que un menor ha proporcionado datos por error, escribe a [email protected] y los eliminaremos en máximo 10 días hábiles.Musha is a B2B service for companies. It is not directed at minors under 18, we do not accept individual signups, and we do not knowingly collect data from minors. If you discover that a minor has provided data by mistake, email [email protected] and we will delete it within 10 business days max.

11 DMCA y Propiedad Intelectual de TercerosDMCA and Third-Party Intellectual Property

Musha respeta los derechos de propiedad intelectual de terceros. Si crees que contenido en mushasec.com o en findings detectados por nuestro Servicio infringe tus derechos de copyright, envía un reporte DMCA conforme a la 17 U.S.C. § 512 a:Musha respects third-party intellectual property rights. If you believe content on mushasec.com or in findings detected by our Service infringes your copyright, send a DMCA notice per 17 U.S.C. § 512 to:

Agente DMCADMCA Agent	Musha Security
EmailEmail	[email protected]
AsuntoSubject	DMCA Notice — [URL]

El reporte debe incluir: identificación del contenido infringido, ubicación del contenido en Musha, tus datos de contacto, declaración de buena fe, y firma electrónica.The notice must include: identification of the infringed work, location on Musha, your contact info, good-faith statement, and electronic signature.

12 ModificacionesModifications

Podemos modificar esta política. Cambios sustanciales se notifican con al menos 60 días de anticipación a tu email registrado, plazo consistente con la notificación de modificaciones de los Términos del Servicio. Si no aceptas los cambios, puedes ejercer tu derecho de cancelación de la suscripción antes de la fecha efectiva. El uso continuado del servicio después de la fecha efectiva implica aceptación de las modificaciones.We may modify this policy. Substantial changes are notified at least 60 days in advance to your registered email — consistent with the notification period for changes to the Terms of Service. If you do not accept the changes, you may exercise your right to cancel the subscription before the effective date. Continued use of the service after the effective date implies acceptance of modifications.

13 ContactoContact

Privacidad y datos personalesPrivacy and personal data	[email protected]
Seguridad y vulnerability disclosureSecurity and vulnerability disclosure	[email protected]
Soporte generalGeneral support	[email protected]
Autoridad de control (Colombia)Supervisory authority (Colombia)	Superintendencia de Industria y Comercio — sic.gov.co