# ¿Cumple Cyber Crucible con el RGPD?

**Respuesta breve:** Sí, por diseño y no solo por política. El contenido, las credenciales, las claves de cifrado y los tokens de sesión nunca se recopilan; el análisis se realiza en el endpoint; Cyber Crucible actúa como encargado del tratamiento en virtud de un DPA por escrito; y las opciones de implementación mantienen los datos personales dentro de la UE, o dentro de sus propias instalaciones.

## Correspondencia con los principios del RGPD

- **Minimización de datos (Art. 5)** — la lista de datos excluidos está enumerada de forma específica, no descrita en términos generales. La telemetría se limita a lo que la detección de amenazas requiere y es configurable.
- **Integridad y confidencialidad (Art. 5, 32)** — TLS 1.3 en tránsito, cifrado de carga útil JWE por agente, cifrado en reposo, control de acceso basado en roles, rotación de claves, registro de auditoría.
- **Obligaciones del encargado del tratamiento (Art. 28)** — DPA por escrito que especifica el alcance; tratamiento únicamente conforme a instrucciones documentadas; subencargados sujetos a condiciones equivalentes.
- **Transferencias (Capítulo V)** — almacenamiento provisional regional en la UE, o implementación con air-gap que elimina por completo la transferencia.
- **Protección de datos desde el diseño (Art. 25)** — la afirmación más sólida posible: las categorías de mayor riesgo no están protegidas por política, sino que nunca se recopilan.

## Seudonimización

Cuando la telemetría de comportamiento pudiera identificar indirectamente a una persona, los identificadores se seudonimizan o enmascaran, una salvaguarda que el RGPD reconoce explícitamente.

## Lo que esto no hace

Esto no hace que su organización cumpla con el RGPD. Sus obligaciones dependen de sus propios fines de tratamiento, bases jurídicas, avisos y registros. Lo que se elimina es una dificultad habitual: un proveedor de seguridad que exporta continuamente datos personales a un tercer país.