Última actualización: 10 de noviembre de 2026 · Versión 1.2
1. Responsable del tratamiento
Adatio Sistemas, S.L.
CIF: B-80981137
Calle Villa de Marín, 23, Planta 1ª, Local 9, 28029 Madrid
Tel: 91 732 02 38
Email de privacidad: privacidad@adatio.es
2. Datos que recoge Adatio MailDetect
El complemento accede a los siguientes datos del email activo en Outlook:
- Cabeceras del email (remitente, SPF/DKIM/DMARC, fecha) — analizados localmente.
- Cuerpo del email (texto/HTML) — procesado únicamente en tu dispositivo o en el contexto de Office.js de Microsoft. No se transmite a Adatio.
- Asunto del email — procesado localmente para detección de palabras clave.
- Dominio del remitente — enviado a nuestro servidor para calcular el historial de reputación del dominio (sin contenido del email). No se envía la dirección completa.
- IP del servidor de origen (de las cabeceras Received) — enviada a nuestro servidor solo para saber su país (apartado 4.2). No se registra ni se guarda.
Registro de cada análisis (en nuestro servidor): email del usuario de Outlook que analiza, dominio del remitente, puntuaciones de phishing y spam y su nivel, y fecha. Sirve para contar el uso de la licencia y, en el plan Business, para que el administrador de la organización vea estadísticas por usuario y por dominio. Cuando un usuario marca un correo como spam o phishing se guardan además las comprobaciones que fallaron.
Datos de cuenta y licencia: identificador de organización (el dominio del correo; en cuentas personales como Outlook.com o Gmail, un código derivado de la dirección que no la contiene en claro), recuento diario de análisis, plan de suscripción.
No recogemos: el cuerpo de los emails, su asunto, la dirección del remitente, los destinatarios, los archivos adjuntos ni sus nombres, contraseñas ni datos de pago directamente.
3. Finalidad y base legal
- Prestación del servicio (art. 6.1.b RGPD): analizar emails para detectar amenazas de seguridad.
- Interés legítimo (art. 6.1.f RGPD): mejorar los modelos de detección con estadísticas agregadas y anónimas.
- Cumplimiento legal (art. 6.1.c RGPD): conservar logs de auditoría conforme a normativa ENS / LOPD-GDD cuando aplique.
4. Transferencias internacionales
Los servidores de Adatio MailDetect se alojan en Microsoft Azure (West Europe — Países Bajos), dentro del Espacio Económico Europeo. El contenido de tus correos —cuerpo, asunto, remitente, destinatarios y adjuntos— no sale en ningún caso del EEE.
Existen dos transferencias fuera del EEE: la consulta de adjuntos en VirusTotal (4.1) y el envío de correos transaccionales con Resend (4.3).
4.1. Comprobación de adjuntos en VirusTotal (solo planes Pro y Business)
Cuando abres un correo con adjuntos, Adatio MailDetect calcula en tu propio equipo el hash SHA-256 de cada adjunto y consulta ese hash en VirusTotal (Google LLC, Estados Unidos) para comprobar si ese fichero ya cuenta con análisis previos de motores antivirus. La comprobación se realiza de forma automática al abrir el correo.
- Qué se transfiere: únicamente el hash SHA-256, una huella criptográfica de 64 caracteres.
- Qué no se transfiere: ni el fichero, ni su nombre, ni su contenido, ni el cuerpo, asunto, remitente o destinatarios del correo. Un hash SHA-256 es irreversible: no permite reconstruir el fichero ni deducir su nombre.
- Cuándo: solo si el correo tiene adjuntos y el tenant tiene plan Pro o Business.
- Plan Free: no se realiza ninguna consulta a VirusTotal. Tampoco se envía ningún correo transaccional: la entrega de licencias se dispara únicamente tras una compra y el código de verificación solo está disponible en plan Business. En plan Free no se produce ninguna transferencia de datos fuera del EEE.
Garantía aplicable a esta transferencia: Google LLC está adherida al Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. Data Privacy Framework), con estado Activo en la lista oficial del Departamento de Comercio de los Estados Unidos. La transferencia queda amparada por la Decisión de Adecuación de la Comisión Europea de 10 de julio de 2023. Con carácter subsidiario, y para el supuesto de que dicha Decisión dejara de estar en vigor, la transferencia queda amparada por las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea.
4.2. Geolocalización del servidor de origen (sin terceros)
Para saber desde qué país se envió un correo, Adatio MailDetect toma de sus cabeceras Received la dirección IP del servidor de origen y pregunta su país a nuestro servidor (Microsoft Azure, Países Bajos), que lo resuelve con una copia local de la base IP Geolocation by DB-IP (licencia CC BY 4.0). La IP no sale del EEE, no se envía a ningún tercero y no se registra ni se guarda: se usa para responder y se descarta.
4.3. Encargados y subencargados del tratamiento
- Microsoft Azure — alojamiento, base de datos (Azure Table Storage) y logs. Ubicación: West Europe (Países Bajos), dentro del EEE.
- Resend (Plus Five Five, Inc., San Francisco, California, Estados Unidos) — envío de correos transaccionales: entrega de licencias y códigos de verificación. Los datos se almacenan en Estados Unidos. Existe un Acuerdo de Encargo del Tratamiento (art. 28 RGPD) en vigor. Transferencia amparada por el Marco de Privacidad de Datos UE-EE. UU., al que Resend está adherida para datos no laborales, y con carácter subsidiario por Cláusulas Contractuales Tipo.
4.4. Terceros que actúan como responsables
Las siguientes entidades no actúan como simple encargado: determinan por sí mismas los fines y medios de una parte del tratamiento, ya sea por obligación legal propia o por sus propias condiciones de servicio.
- Stripe — procesamiento de pagos y portal de facturación. La entidad contratante para cuentas del EEE es Stripe Payments Europe, Limited, sociedad irlandesa con domicilio en Dublín, dentro del EEE; para los servicios de pago autorizados actúa Stripe Technology Europe, Limited, también irlandesa. Stripe actúa como encargado al ejecutar los pagos siguiendo nuestras instrucciones, y como responsable independiente en la prevención del fraude y en el cumplimiento de sus propias obligaciones regulatorias.
- VirusTotal (Google LLC) — consulta de reputación de ficheros por hash. Ubicación: Estados Unidos. Solo planes Pro y Business. VirusTotal trata las consultas conforme a sus propias condiciones de servicio y para sus propios fines de seguridad, por lo que no actúa como simple encargado. Ver apartado 4.1.
5. Plazos de conservación
- Registro de análisis e informes de spam/phishing (apartado 2): 90 días. Se borran automáticamente cada día los que superan ese plazo.
- Datos de suscripción: durante la vigencia del contrato + 5 años (obligación mercantil).
- Eventos de auditoría: 12 meses.
6. Derechos del usuario
Puedes ejercer tus derechos de acceso, rectificación, supresión, portabilidad, limitación y oposición enviando un email a privacidad@adatio.es con tu tenantId de M365 y copia de tu DNI. Responderemos en 30 días naturales.
Si no recibes respuesta satisfactoria, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).
7. Cookies y almacenamiento local
Adatio MailDetect usa localStorage del navegador de Outlook para almacenar el historial de reputación de remitentes de tu tenant. Estos datos permanecen en tu dispositivo y no se sincronizan a ningún servidor externo. Puedes borrarlos limpiando el almacenamiento del add-in desde las opciones de Outlook.
8. Seguridad
Toda comunicación entre el add-in y nuestros servidores se realiza sobre HTTPS/TLS 1.3. Los datos se almacenan en Azure Table Storage, que Microsoft cifra en reposo con AES-256.
9. Cambios en esta política
Notificaremos cambios sustanciales en esta política mediante aviso en el panel del add-in con al menos 30 días de antelación. El uso continuado del complemento tras esa fecha supone la aceptación de la nueva política.
10. Contacto
Para cualquier duda sobre privacidad:
📧 privacidad@adatio.es
🌐 www.adatio.es