Política de privacidad de la extensión PikeSec

Versión 5 · 4 de noviembre de 2026 · Se aplica a la extensión PikeSec para Chrome desde la versión 0.6.0 y para Firefox desde la versión 0.11.0. La sección 6 (piloto abierto) se aplica desde la versión 0.10.0; la sección 7 (pilotos con una organización), desde la 0.8.1; y la sección 8 (adjuntos en Gmail), desde la 0.9.0.

En resumen: la extensión analiza cada página dentro de tu navegador y nunca envía el contenido de las páginas ni lo que escribes. Durante el piloto abierto te preguntamos si quieres ayudarnos a mejorar PikeSec: solo si aceptas, se envía a PikeSec el resultado del análisis de cada página que abres y su dirección sin parámetros (sección 6). Si no aceptas, mientras navegas no se envía nada y la protección es la misma. Aparte, solo sale información si tú pulsas «Avisar de un error» o «Reportar como phishing» (sección 5), o si participas en un piloto con tu organización (sección 7). En todos los casos lo verás en la ventana de la extensión, y puedes dejarlo cuando quieras.

1. Quién es responsable

Sofia Alexandra Grigore Barfa, que desarrolla PikeSec como persona física.
Domicilio: Avenida Lazarejo 10, portal 12, 1.º B, 28232 Las Rozas de Madrid (Madrid), España
Email: hello@pikesec.com

2. Qué hace la extensión

PikeSec analiza la página que tienes abierta, calcula un nivel de riesgo (bajo, medio o alto) y explica en lenguaje sencillo por qué puede ser phishing. Si el riesgo es alto, muestra un aviso a pantalla completa. Todo el análisis ocurre en tu dispositivo.

3. Mientras navegas, si no participas en ningún piloto: no recogemos datos

Esto es lo que pasa si no has aceptado el piloto abierto (sección 6) ni participas en un piloto con tu organización (sección 7):

No enviamos la dirección (URL) de las webs que visitas a ningún servidor.
No enviamos el contenido de las páginas, capturas ni lo que escribes.
No usamos analítica, cookies de seguimiento ni identificadores publicitarios.
No guardamos un historial de navegación. El resultado del análisis vive en la memoria de la pestaña y desaparece al cerrarla o cambiar de página.
En tu navegador se guardan solo contadores por día (cuántos avisos hubo, de qué tipo y cuántas veces se ignoraron) para enseñarte el resumen «Esta semana en este ordenador». Son números, nunca qué webs eran, y se borran solos a los 91 días. Además, un único contador de diagnóstico: cuántas veces una web ha intentado anular el aviso a pantalla completa y la fecha de la última, sin la web ni el dominio; no se envía a ningún sitio.

4. Las listas públicas de webs peligrosas

La extensión descarga dos listas públicas de dominios peligrosos:

Cada 12 horas, la de phishing activo phishing-filter, desde malware-filter.gitlab.io o, si falla, desde sus copias oficiales en curbengh.github.io y malware-filter.pages.dev.
Cada 6 horas, la de webs peligrosas de CERT Polska, el equipo público de ciberseguridad de Polonia, desde hole.cert.pl.

Es la misma descarga completa para todo el mundo: no lleva la web que visitas, ni cookies, ni identificadores. La comprobación se hace en tu dispositivo. Como en cualquier descarga, cada servidor ve tu dirección IP.

5. Solo si tú lo pides: reportes de error

En la ventana de la extensión o en el aviso puedes pulsar «Avisar de un error» (crees que una web marcada como peligrosa es de confianza) o «Reportar como phishing» (crees que una web que no se marcó es un engaño). Antes de enviar te enseñamos qué sale. Si confirmas, enviamos:

El dominio de la web (por ejemplo ejemplo.com), nunca la dirección completa, rutas ni parámetros.
El nivel de riesgo, la puntuación y la regla que lo decidió.
Las señales técnicas medidas (por ejemplo «usa HTTPS: sí» o «enlaces externos: 12») y, si aplica, la marca que parece imitar.
La versión de la extensión y el idioma (español o inglés).

No enviamos ningún identificador tuyo ni de tu dispositivo, y no guardamos tu dirección IP en los reportes. El proveedor del servidor la conserva unos días en sus registros técnicos.

Finalidad	Revisar errores del detector y mejorarlo.
Base legal	Tu consentimiento, que das al pulsar «Enviar» en cada reporte (art. 6.1.a del RGPD).
Dónde se guardan	Supabase, en servidores de la Unión Europea (Irlanda), como encargado del tratamiento.
Cuánto tiempo	Como máximo 24 meses desde que lo envías: cada día se borran automáticamente los que han cumplido ese plazo.
Quién los ve	Solo el equipo de PikeSec. No se venden ni se ceden a terceros.

6. Piloto abierto: ayúdanos a mejorar PikeSec

PikeSec está en fase piloto. Para medir y mejorar la detección necesitamos ver cómo se comporta con las webs reales que se visitan, las buenas y las malas. Por eso, al instalar o actualizar la extensión se abre una ventana que explica qué se envía, con dos botones: «Aceptar y participar» y «Ahora no». Antes de pulsar «Aceptar y participar» no se envía nada ni se guarda nada para enviarlo.

Si pulsas «Ahora no» (o cierras la ventana sin decidir), PikeSec te protege igual y no se envía nada de tu navegación. La ventana no vuelve a abrirse sola.
Puedes cambiar de opinión cuando quieras en la sección «Ayúdanos a mejorar PikeSec» de la ventana de la extensión: «Participar» o «Dejar de participar». Al dejarlo se deja de enviar al momento y se borra lo que estuviera pendiente de enviar.

Si participas, por cada página que abres la extensión envía a PikeSec:

La dirección de la página sin parámetros: sin lo que va detrás de «?» ni de «#», y sin usuario ni contraseña. Además, los trozos de la ruta que parecen un correo electrónico, un número largo (teléfono, pedido, cuenta) o un código o identificador se sustituyen por un marcador (:correo, :num, :id). Por ejemplo, https://ejemplo.com/cuenta/ana@correo.es/pedidos?id=123 se envía como https://ejemplo.com/cuenta/:correo/pedidos.
El resultado del análisis: el nivel de riesgo, la puntuación, la regla que lo decidió y cuánto pesó cada nivel.
Las señales técnicas medidas por el detector: números y respuestas de sí o no (por ejemplo «usa HTTPS: sí», «líneas de código: 80» o «enlaces externos: 12») y, si aplica, la marca que parece imitar y el dominio al que envía un formulario de contraseña o de pago.
Si, ante un aviso de peligro, continuaste o saliste de la página, con su dirección sin parámetros.
El día, la versión de la extensión y un identificador al azar de la instalación, que no identifica a la persona.

No se envía nunca: el contenido de las páginas (textos, imágenes, títulos ni capturas), lo que escribes, contraseñas, cookies, ni nada de las páginas de tu red local (localhost, direcciones IP privadas, nombres sin punto como intranet, ni dominios .local, .internal, .lan, .corp y similares). Tampoco tu nombre ni tu correo: no te los pedimos.

Para no enviar dos veces lo mismo, la extensión recuerda en la memoria del navegador qué páginas ya ha enviado ese día; se borra al cerrar el navegador. Lo que aún no se ha podido enviar (por ejemplo, sin conexión) se guarda en tu navegador como mucho 7 días.

Finalidad	Construir una base propia de webs legítimas y peligrosas para medir cuántas amenazas detecta PikeSec, cuántas falsas alarmas da y mejorar el detector.
Base legal	Tu consentimiento, que das al pulsar «Aceptar y participar» y puedes retirar en cualquier momento con «Dejar de participar» (art. 6.1.a del RGPD). Retirarlo no afecta a lo enviado antes.
Cuánto dura el piloto	3 meses desde que se publica la versión 0.10.0. Al terminar, el servidor deja de aceptar análisis y la extensión deja de enviarlos.
Dónde se guardan	Supabase, en servidores de la Unión Europea (Irlanda), como encargado del tratamiento.
Cuánto tiempo	12 meses desde que se recibe cada análisis con el identificador de la instalación. Cumplido ese plazo, cada día se anonimizan automáticamente: se borran el identificador de la instalación y la organización y, en las páginas sin aviso (riesgo bajo), la ruta, de modo que solo queda el dominio (por ejemplo `https://ejemplo.com/`). Las páginas con aviso de precaución o de peligro conservan su dirección sin parámetros, porque son las webs sospechosas. Lo anonimizado ya no permite saber quién visitó qué y se conserva sin límite de tiempo para mejorar el detector.
Quién los ve	Solo el equipo de PikeSec. No se venden ni se ceden a terceros.

No guardamos tu dirección IP con los análisis; el proveedor del servidor la conserva unos días en sus registros técnicos.

7. Pilotos con una organización: medición del uso

Esta sección solo se aplica si participas en un piloto con PikeSec y se da una de estas dos cosas: (1) escribes tú el código del piloto en la sección «Piloto de PikeSec» de la ventana de la extensión y pulsas «Activar y aceptar», después de leer lo que se envía; o (2) tu organización ha activado la política de Chrome claveOrganizacion en tus equipos. Sin ninguna de las dos, la extensión no envía nada de esto ni guarda nada para enviarlo. Si está activo, la ventana de la extensión te lo dice. Con el código (1) puedes desactivarlo cuando quieras pulsando «Desactivar», y se borra lo que estuviera pendiente de enviar y el identificador del equipo. Mientras está activo, lo que aún no se ha podido enviar (por ejemplo, sin conexión) se guarda en tu navegador como mucho 7 días. Si tu organización lo activa por política de Chrome, además se envía el análisis de cada página como en la sección 6, con los mismos plazos (12 meses y después anonimizado) y la base legal de esta sección; con el código (1) eso solo ocurre si además aceptas el piloto abierto.

Entonces la extensión envía a PikeSec:

Cuando se muestra un aviso de peligro (riesgo alto): el dominio de esa web (por ejemplo ejemplo.com, nunca la dirección completa, rutas ni parámetros) y el tipo de señal que lo decidió.
Si ante ese aviso continuaste o saliste de la página, con el mismo dominio.
Cuando se muestra un aviso de precaución (riesgo medio): solo que hubo uno y de qué tipo, sin dominio.
Que has pulsado «Avisar de un error» o «Reportar como phishing» (sin dominio en este envío) y que el equipo estuvo activo ese día.
El día, la versión de la extensión y un identificador al azar de la instalación, que no identifica a la persona y solo se genera mientras el piloto está activo en ese equipo.

No se envía nunca la dirección completa de las páginas, su contenido, lo que escribes, contraseñas, ni los dominios de páginas sin aviso de peligro.

Finalidad	Que la organización y PikeSec comprueben cuántas amenazas detecta PikeSec en el piloto y cómo se responde a los avisos; mejorar el detector.
Base legal	Con el código del piloto: tu consentimiento, que das al pulsar «Activar y aceptar» y puedes retirar al desactivarlo (art. 6.1.a del RGPD). Si lo activa tu organización por política de Chrome: interés legítimo de la organización y de PikeSec en validar la herramienta de seguridad (art. 6.1.f), con información previa a la plantilla por parte de la organización.
Quién decide y informa	Con el código, cada persona. Con la política, la organización, que debe informar a su plantilla antes del piloto. En ambos casos PikeSec trata los datos en el marco del piloto acordado con la organización.
Dónde se guardan	Supabase, en servidores de la Unión Europea (Irlanda), como encargado del tratamiento.
Cuánto tiempo	Hasta 3 meses después de terminar el piloto: desde el día siguiente al fin ya no se aceptan eventos y, cumplido ese plazo, cada día se borran automáticamente los de los pilotos que lo han cumplido.
Quién los ve	El equipo de PikeSec y la organización participante. No se venden ni se ceden a terceros.

No guardamos tu dirección IP en estos eventos; el proveedor del servidor la conserva unos días en sus registros técnicos.

8. Adjuntos en Gmail

Cuando usas Gmail en Chrome o en Firefox, la extensión lee en tu navegador los nombres de los archivos adjuntos que Gmail te muestra, en el correo abierto y en la lista de correos, para avisarte si uno parece peligroso (por ejemplo, un programa que se hace pasar por un PDF). No abre ni descarga los archivos, no lee el texto del correo, el remitente ni el asunto, y no envía ni guarda los nombres: todo ocurre en tu equipo. Lo único que se guarda, en tu navegador y sin ningún nombre de archivo, es un contador de diagnóstico del aviso.

9. Modo empresa: aviso de contraseña corporativa

Solo si tu organización lo activa por política de Chrome, la extensión guarda en tu navegador una huella cifrada (hash con sal, PBKDF2-SHA256) de tu contraseña de trabajo, nunca la contraseña ni su longitud. Para avisarte si la escribes en otra web, compara lo que escribes en campos de contraseña; ese valor no se guarda ni sale del navegador, y no se apunta en qué webs lo escribes. Tu organización no recibe nada: el aviso solo lo ves tú.

10. Permisos que pide la extensión

Leer las páginas que visitas (http://*/*, https://*/*): necesario para analizar cada página dentro del navegador. El contenido leído no sale del dispositivo; si participas en un piloto, sale el resultado del análisis descrito en las secciones 6 y 7. En Gmail incluye leer los nombres de los adjuntos (sección 8), que tampoco salen.
activeTab: mostrar el resultado de la pestaña abierta al pulsar el icono.
storage: guardar en tu navegador las listas de webs peligrosas, los contadores semanales y tus ajustes.
alarms: actualizar las listas de webs peligrosas (cada 12 y cada 6 horas) y, solo si participas en un piloto, reintentar el envío de lo pendiente si no había conexión.
Acceso a malware-filter.gitlab.io y hole.cert.pl: descargar esas listas.

No pide acceso a tu historial, a tus cookies ni a las peticiones de red de otras webs.

En Firefox los permisos son los mismos. La extensión declara a Mozilla que no recoge ningún dato de forma obligatoria y que los datos de navegación y del contenido de los sitios que se envían en un piloto (secciones 6 y 7) son opcionales. En Firefox, las organizaciones todavía no pueden activar por política los pilotos de la sección 7: solo se activan con el código que escribe cada persona.

El uso de la información que recibe la extensión cumple la política de datos de usuario de la Chrome Web Store, incluidos los requisitos de uso limitado.

11. Tus derechos

Puedes pedir acceso, rectificación, supresión, oposición, limitación o portabilidad de tus datos, y retirar tu consentimiento cuando quieras, escribiendo a hello@pikesec.com. Como los reportes y los análisis no llevan datos que te identifiquen, para encontrarlos necesitamos que nos indiques el dominio y el día aproximado. Los análisis ya anonimizados (sección 6) no se pueden relacionar con nadie, así que no es posible localizarlos. Si crees que no hemos atendido bien tu petición, puedes reclamar ante la Agencia Española de Protección de Datos.

12. Cambios

Si cambia algo de lo que se trata o se envía, actualizaremos esta página antes de publicar la nueva versión de la extensión y cambiaremos la fecha de arriba. Cualquier envío nuevo de datos será opcional: o lo decides tú, o lo decide expresamente tu organización en un piloto, como en las secciones 6 y 7.