Condiciones de contratación · Condiciones del plan Básico · Condiciones del Radar · Condiciones del Guard

Condiciones del Guard

Versión del 2 de noviembre de 2026

1. Quién presta el servicio

Josep Maria Bella, empresario individual, con domicilio en Sabadell · info@waystosecure.com (en adelante, «WaystoSecure»). Para notificaciones formales, escribe a este correo electrónico; los datos fiscales completos figuran en la factura y te los damos si los pides.

2. El Guard

El Guard es un servicio mensual pensado para empresas: todo lo que incluye el Radar, para los dominios y las direcciones que constan en tus condiciones particulares, y pruebas ofensivas cada mes sobre la infraestructura que nos autorizas a probar. Los servicios son de medios, no de resultado: las pruebas y la vigilancia reducen el riesgo, pero ningún proveedor puede garantizar la ausencia total de incidentes.

3. Este documento y tus condiciones particulares

Este documento contiene las condiciones que rigen tu plan. Debes aceptarlas antes de contratarlo (en el plan Básico, al crear la cuenta): en el portal ves el texto completo, lo marcas como leído y aceptado, y puedes descargarlo en PDF. Guardamos qué versión has aceptado, cuándo y desde qué dirección IP, y la tienes siempre en «Mi plan» del portal para volver a descargarla.

Si las condiciones cambian, publicamos una versión nueva, con su fecha arriba, y la próxima vez que entres en el portal te la mostraremos para que la aceptes. Mientras no la aceptes, en el portal solo podrás leerla, cancelar la suscripción, cerrar la cuenta o salir. Las correcciones que no cambian nada de lo que contratas (una errata, por ejemplo) no requieren una nueva aceptación.

Lo que la web y el portal explican sobre qué incluye cada plan forma parte de estas condiciones. Si contratas otro plan, se aplican las condiciones de ese plan, que aceptarás antes de pagar.

Tus condiciones particulares (el precio mensual, los dominios y las direcciones de correo incluidos y la versión vigente de la autorización) las ves en el portal antes de pagar, forman parte de este documento y se aceptan con él. Si cambian (por ejemplo, el precio, porque amplías la infraestructura), te las mostraremos para que las aceptes de nuevo.

4. Cómo se contrata

Nos pides una entrevista desde la web. En ella acordamos el alcance y el precio, que depende de tu infraestructura, y firmamos la autorización de las pruebas (apartado 5). Después te damos de alta en el portal: recibirás un correo para crear tu contraseña, y desde el portal aceptas estas condiciones con tus condiciones particulares y completas el pago en la pasarela segura de Stripe. WaystoSecure no ve ni almacena los datos de la tarjeta. La suscripción se activa con el pago, y solicitas expresamente que la prestación empiece en ese momento.

Si ya tienes el Radar, al pasar al Guard conservas todo lo que tienes (los dominios, las alertas y el historial), y el Radar se cierra el día en que se activa el Guard (apartado 13).

5. La autorización escrita

No hacemos ninguna prueba ofensiva sin tu autorización firmada (el documento de reglas del juego, «RoE»). La autorización fija el alcance (los dominios y las direcciones IP), las ventanas horarias, la persona de contacto y lo que no hacemos. La firmas en nombre de la empresa y declaras que tienes derecho a autorizar pruebas sobre todos los activos que constan en ella (apartado 16). Si cambia tu infraestructura, primero actualizamos la autorización y después probamos lo que es nuevo. La autorización vigente está siempre en tu portal, y deja de estarlo el día en que termina el Guard.

6. Las pruebas

Las pruebas son automatizadas y asistidas por IA, revisadas por personas, y se hacen desde fuera, sin instalar nada en tus sistemas. Solo se hacen dentro del alcance y de las ventanas autorizadas. En ningún caso hacemos denegaciones de servicio ni acciones destructivas, y no engañamos a tu equipo (por ejemplo, con un phishing simulado) sin un acuerdo previo. Toda prueba sobre sistemas en producción tiene un riesgo residual, que aceptas al firmar la autorización; si una prueba causara una interrupción, la detenemos enseguida y avisamos a la persona de contacto.

Las pruebas encuentran lo que es vulnerable en el momento de hacerlas y con las técnicas acordadas: no garantizamos encontrar todas las vulnerabilidades ni que no aparezcan otras nuevas. Corregir lo que encontramos te corresponde a ti (o a quien te lleve los sistemas): el informe te dice qué y cómo.

7. Qué incluye y qué no

Además de todo lo que incluye el Radar, cada mes:

el informe de las pruebas, con el plan de remediación, que te entregamos antes del día 10 del mes siguiente (el primero es el de la prueba piloto);
un estudio a fondo de las credenciales filtradas, que nos pides desde el portal y que no se acumula de un mes a otro;
las denuncias de dominios falsos;
tres limpiezas de reputación, que tampoco se acumulan;
la configuración inicial, también la de los dominios que añadas;
una persona de referencia, con respuesta en un día laborable;
y, una vez al año, una sesión de concienciación para tu equipo.

Los encargos incluidos se abren desde el portal sin pagar nada; pasada la cuota del mes, se pagan como cualquier encargo (apartado 10). No incluye las retiradas de dominios falsos (apartado 10) ni el pentest con agentes de IA (apartado 11), que se contratan aparte.

8. Los informes y la confidencialidad

Te entregamos los informes cifrados en el portal. La contraseña de cada informe te la enviamos por correo y la plataforma no la guarda. Si la pierdes, te lo volvemos a cifrar con una contraseña nueva. Tienes acceso a los informes mientras la suscripción esté activa (también hasta el final del período ya pagado si cancelas): descárgalos si quieres conservarlos. Guardamos una copia cifrada de cada informe mientras dure el Guard y un año más, para poder entregártela de nuevo; después se borra.

Los hallazgos son tuyos y confidenciales: no los compartimos con nadie, salvo obligación legal, y solo accedemos a ellos para preparar el informe y prestarte el servicio.

9. Precio y facturación

El precio es el de tus condiciones particulares, sin IVA; se añade el IVA vigente (hoy, el 21 %) en el pago, y la factura lo desglosa. Se cobra por adelantado en ciclos mensuales, con renovación automática. Si el precio cambia (por ejemplo, porque amplías la infraestructura), te lo comunicamos por correo con un mínimo de 30 días de antelación, con tus condiciones particulares nuevas; el precio nuevo se aplica a partir del primer ciclo que empiece después de ese plazo, nunca a los ciclos ya pagados, y puedes cancelar antes sin ningún coste.

10. Encargos («Lo hacemos nosotros»)

Los encargos son trabajos que un técnico de WaystoSecure hace por ti, de uno en uno, con un precio cerrado que se indica en la ficha de cada encargo, más IVA, y que queda fijado en el momento de la compra. Qué encargos puedes comprar depende de tu plan, y la ficha lo indica. El pago se hace por adelantado en la página segura de Stripe; si cierras la página de pago sin pagar, no se hace ningún cargo y la petición caduca a las 24 horas.

Un técnico coge el encargo en un máximo de 2 días laborables desde el pago y te escribe en cada cambio de estado; puedes seguirlo en «Mis encargos». Si para hacer el trabajo necesitamos algo de ti (por ejemplo, un cambio en tu DNS), te lo pediremos y el encargo quedará a la espera de tu respuesta. Nunca te pediremos contraseñas: cuando haya que tocar tus cuentas o tu DNS, lo harás tú siguiendo nuestras instrucciones o en una sesión compartiendo pantalla.

Los encargos cobran el trabajo, no el resultado. Que un dominio falso caiga, que una lista de bloqueo retire tu IP o que un proveedor de correo entregue tus mensajes en la bandeja de entrada depende de terceros que no controlamos, y no lo garantizamos. Nunca pagamos «retiradas» o «bajas» exprés a terceros. En la retirada de un dominio falso, si el dominio vuelve a estar activo dentro de los 90 días siguientes al cierre del caso, lo reabrimos sin coste.

Reembolsos. Te devolvemos el importe íntegro si todavía no hemos empezado el trabajo, o si en la primera revisión vemos que no se puede hacer (por ejemplo, porque el dominio denunciado no es malicioso). Una vez empezado el trabajo, no se devuelve. Los reembolsos se hacen a la misma tarjeta, a través de Stripe.

Tus declaraciones. Para denunciar o pedir la retirada de un dominio, declaras que ese dominio no es tuyo ni lo has autorizado. Denunciar por error un dominio legítimo puede tener consecuencias legales: por eso ninguna denuncia es automática y siempre la comprueba antes un técnico. Si la declaración fuera falsa, respondes de los daños que se deriven.

Si eres consumidor. Al comprar un encargo, pides expresamente que el trabajo empiece dentro del plazo de desistimiento de 14 días y reconoces que, una vez el trabajo esté completado, pierdes el derecho de desistimiento. Si desistes antes de que el trabajo esté completado, se te reembolsará el importe menos la parte proporcional del trabajo ya hecho.

11. El pentest con agentes de IA

El pentest con agentes de IA es un ejercicio puntual de pruebas ofensivas sobre tu infraestructura, con pago único de 850 €, más IVA. Solo pueden contratarlo los clientes con el Radar o el Guard activos.

Las reglas del juego. Ninguna prueba empieza sin un documento de reglas del juego firmado por ambas partes con certificado electrónico cualificado. En el portal describes el alcance (hasta 5 dominios y 32 direcciones IP) y las franjas horarias (hasta 5, de 8 horas como máximo, entre 5 días y 6 meses después), y declaras que tienes autorización para hacer probar esos sistemas. Revisamos el documento y, si hace falta un cambio, te lo devolvemos; cuando es correcto, generamos el PDF, lo firmamos y lo firmas tú. Las pruebas solo se hacen dentro del alcance y de las franjas firmadas, con las técnicas y los límites del documento; en ningún caso hacemos denegaciones de servicio ni acciones destructivas. Toda prueba sobre sistemas en producción tiene un riesgo residual, que aceptas al firmar; si una prueba causara una interrupción, la detenemos enseguida y te avisamos.

El informe. Al terminar, te entregamos un informe con los hallazgos, cifrado: la clave te la enviamos por correo y no guardamos ninguna copia. Si la pierdes, te lo volvemos a cifrar con una clave nueva. Los hallazgos son tuyos: no los compartimos con nadie, salvo obligación legal.

Reembolsos y desistimiento. Te devolvemos el importe íntegro si el ejercicio no ha empezado (por ejemplo, si no llegamos a firmar el documento de reglas del juego). Una vez empezadas las pruebas, no se devuelve. Si eres consumidor, se aplica lo mismo que en los encargos (apartado 10).

12. Límites del servicio y fuentes de terceros

Los límites de tu Guard (los dominios y las direcciones de correo vigiladas) son los de tus condiciones particulares; las pruebas de envío, 10 al día.

La vigilancia se nutre de fuentes de información de terceros (bases de datos de filtraciones, registros de dominios, listas de bloqueo, servicios de reputación). Si una fuente cambia sus condiciones, deja de funcionar o deja de estar disponible, WaystoSecure puede sustituirla por otra equivalente o retirar la función que depende de ella, avisándote con antelación cuando sea posible, sin que ello dé derecho a ningún reembolso mientras el conjunto del servicio se mantenga.

Puedes apagar cualquier bloque de la vigilancia desde la configuración. Apagar un bloque no cambia el precio. Cuando marcas una alerta como «Lo sé y lo dejo así», aceptas ese riesgo, y ese punto no aparece en el dosier entre lo que está hecho.

El dosier. El dosier que emites desde el portal describe lo que hemos vigilado y lo que está hecho; no es una auditoría ni garantiza la ausencia de incidentes. Cada dosier lleva un código: durante dos años desde la emisión, cualquiera que lo tenga puede comprobar en nuestra web que lo hemos emitido nosotros y qué decía (la empresa y el NIF que constaban, la fecha, el alcance y el resumen), también si después cierras la cuenta. Emitirlo es aceptarlo. La página de verificación no dice si sigues siendo cliente.

13. Duración y cancelación

La suscripción es mensual y puede cancelarse en cualquier momento desde el portal, sin penalización y sin dar explicaciones. Al cancelar, el servicio sigue activo hasta el final del período ya pagado y no se produce ningún cargo más. Cuando el Guard termina, la autorización deja de estar vigente y se detienen las pruebas; conservas el acceso al portal y al plan Básico hasta que decidas darte de baja (apartado 14).

Si pasas del Radar al Guard, la suscripción del Radar y las de los dominios adicionales se cierran el día en que se activa el Guard, sin reembolso automático de la parte del ciclo ya pagada.

14. Baja de la cuenta

Puedes eliminar tu cuenta desde «Mi cuenta › Darse de baja», confirmándolo con tu contraseña. La baja es inmediata: dejamos de vigilarte, tu acceso queda cerrado y, si tienes una suscripción activa, se cancela al instante sin reembolso de la parte del ciclo ya pagado. Si cambias de opinión, tienes 7 días para escribirnos y detenerlo. Lo que pasa con tus datos se describe en la Política de privacidad, apartado «Conservación y supresión».

Si tienes el Guard, al darte de baja la autorización deja de estar vigente ese mismo día y pierdes el acceso a los informes: si quieres una copia, descárgatelos antes.

15. Derecho de desistimiento

El Guard está pensado para empresas y profesionales: si lo contratas para tu actividad profesional, no se aplica el derecho de desistimiento de los consumidores.

Si eres consumidor, dispones de 14 días naturales desde la contratación para desistir sin necesidad de justificación, escribiendo a info@waystosecure.com con una declaración inequívoca (puedes usar el modelo del anexo de la Ley General para la Defensa de los Consumidores y Usuarios). Como la prestación empieza inmediatamente a petición tuya, en caso de desistimiento se reembolsará el importe pagado menos la parte proporcional del servicio ya prestado hasta la fecha de la comunicación. Para los encargos y el pentest, consulta los apartados 10 y 11.

16. Tus obligaciones

Verificas únicamente activos propios o sobre los que tienes autorización, y respondes de esa autorización; custodias tus credenciales y haces un uso lícito del servicio. Las direcciones de correo que añades a la vigilancia deben ser tuyas o de personas que lo han consentido: cada dirección recibe un mensaje para confirmarlo. Si nos delegas el subdominio mta-sts de tu dominio para que alojemos la política MTA-STS, puedes retirar la delegación cuando quieras; al dejar de alojarla, publicamos una política neutra («none») durante 30 días antes de retirarla. Las contraseñas filtradas en claro solo se abren con tu contraseña del portal: WaystoSecure no puede leerlas ni recuperarlas; si pierdes la contraseña, ese contenido deja de ser accesible. WaystoSecure puede suspender el servicio ante usos fraudulentos o contrarios a estas condiciones, avisándote previamente cuando sea posible.

En el Guard, además: declaras que tienes derecho a autorizar las pruebas sobre todos los activos que constan en la autorización y, si alguno es de un tercero (por ejemplo, un servidor en un proveedor de alojamiento o en la nube), que tienes su permiso o que sus condiciones lo permiten; nos das una persona de contacto disponible durante las ventanas de pruebas, y nos avisas antes de cualquier cambio en la infraestructura autorizada.

17. Disponibilidad y responsabilidad

Disponibilidad. El servicio funciona de forma continua, pero no garantizamos que esté disponible en todo momento: puede haber paradas por mantenimiento o por causas ajenas (proveedores, red, fuentes de terceros). Cuando una parada está prevista, intentamos avisarte con antelación.

Responsabilidad. WaystoSecure responde de los daños que cause por dolo o negligencia grave. En los demás casos, y en la medida en que la ley lo permita, su responsabilidad por cualquier reclamación relacionada con el servicio se limita al importe que hayas pagado por él durante los 12 meses anteriores al hecho que la origina, y no incluye los daños indirectos ni el lucro cesante. WaystoSecure no responde de los incidentes que la vigilancia no detecte, de los que causen terceros ni de las decisiones que tomes con la información que te damos. Si eres consumidor, esta limitación no afecta a los derechos que la ley te reconoce.

En el Guard, además: lo que no garantizamos de las pruebas está en el apartado 6, y el riesgo residual de las pruebas lo aceptas al firmar la autorización.

18. Protección de datos

El tratamiento de datos personales se rige por la Política de privacidad.

Los hallazgos pueden incluir datos personales de terceros (por ejemplo, direcciones o nombres de usuario de tus empleados): los tratamos solo para preparar el informe y prestarte el servicio. Si necesitas un contrato de encargo del tratamiento (art. 28 del RGPD), lo firmamos contigo.

19. Legislación, idioma y comunicaciones

Estas condiciones se rigen por la legislación española. Si eres consumidor, puedes dirigirte a los juzgados de tu domicilio. Si contratas como empresa o profesional, las partes se someten a los juzgados y tribunales del domicilio de WaystoSecure.

Idioma. Estas condiciones se publican en catalán, castellano e inglés, y aceptas las de tu idioma. Las tres dicen lo mismo; si hubiera alguna diferencia, prevalece la versión catalana.

Comunicaciones. Te escribimos al correo electrónico de tu cuenta, y los avisos que afectan al servicio también aparecen en el portal. Para cualquier notificación formal, escribe a info@waystosecure.com.