PentrPrivacy policy
Versión en español: política de privacidad.
This policy explains what personal data is processed when you visit pentr.sh, write to Pentr, or use the Pentr service at app.pentr.sh, and what rights you have. It is written to meet article 13 of the General Data Protection Regulation (EU) 2016/679 (GDPR) and Spanish Organic Law 3/2018 (LOPDGDD).
1. Controller
The controller is David Cristóbal Lana, a sole trader who operates Pentr (NIF 52473694E), C/ Méndez Núñez, 4, CH24, 28660 Boadilla del Monte (Madrid), Spain. Contact for any privacy matter: contact@pentr.sh. No data protection officer has been appointed. In this policy, "Pentr", "we" and "us" refer to him.
2. What we process, why, and on what legal basis
2.1 Visiting pentr.sh
- Hosting. pentr.sh is served by Netlify. To deliver each page, Netlify receives your IP address and the details of the request (the address requested, browser user agent, time). Legal basis: our legitimate interest in publishing the website and keeping it available and secure (art. 6(1)(f) GDPR).
- Fonts. Pages load their typefaces from Google Fonts. Your browser requests the font files from Google's servers, which receive your IP address and user agent. Legal basis: legitimate interest in displaying the site consistently (art. 6(1)(f)).
- Page view counting. When a page on pentr.sh loads, your browser sends one request to Pentr's own server at app.pentr.sh containing the page path, the address of the page that linked to it (the referrer) and the
utm_sourcevalue of the link, if any. When you click a link to the subscribe page, it sends a second request naming the plan. The server turns these into aggregate counters: views per page, referring site grouped into a fixed list of categories (for example "google" or "linkedin"), campaign source, and clicks per plan. It does not store the full referrer address, your IP address or any identifier, and it does not log individual requests. Your IP address is used only to limit how many requests one address can send per minute; that counter expires at the end of the minute. Legal basis: legitimate interest in knowing which pages are read and how visitors reach the pricing page (art. 6(1)(f)).
2.2 The contact form and email
The contact form collects your name, work email, company (optional), the topic you choose and your message. If you arrived from a framework page, it also records which framework. The form is processed and stored by Netlify Forms, and we read it to reply. Messages you send directly to contact@pentr.sh or security@pentr.sh are processed the same way by our email provider. Legal basis: steps taken at your request before entering into a contract (art. 6(1)(b)) when you ask about the service, and our legitimate interest in answering other enquiries and security reports (art. 6(1)(f)). The name, email and message are needed to reply; without them we cannot answer.
2.3 Using the Pentr service
If you create an account, we process:
- your sign-in identity: email address, name, password credential and sessions (held in the identity service, Ory Kratos, which runs on Pentr's own servers);
- your user and organization records, including your role and plan tier;
- records of what you do that the service keeps as an audit trail: ownership attestations (which store the attesting user's id and email), the asset verification log (which records the acting user), schedules (which record the user who created them) and API keys (stored as hashes);
- the engagements you run and their findings, evidence, reports and share links.
Legal basis: performance of the contract with you (art. 6(1)(b)); for the audit trail, also our legitimate interest in being able to show who authorised each test (art. 6(1)(f)).
When someone opens a share link you send them, their IP address is used to apply the per-address rate limits described in the share links documentation. No account is created for them.
Data inside the targets you test. Tool output and evidence captured during an engagement can contain personal data held on the systems you test. For that data you are the controller and Pentr processes it on your behalf, only to run the engagement and keep its evidence, as a processor under article 28 GDPR and the terms of service.
2.4 Payments
Subscriptions are paid through Stripe. Stripe collects and processes your payment details; we do not receive or store card numbers. We receive from Stripe the billing details needed to issue invoices and the state of your subscription. Legal basis: performance of the contract (art. 6(1)(b)) and compliance with tax and accounting obligations (art. 6(1)(c)).
2.5 Automated decisions
We do not make decisions about you based solely on automated processing that produce legal or similarly significant effects (art. 22 GDPR), and we do not profile visitors or customers for advertising. The AI agent that runs engagements analyses the systems you ask it to test; it does not make decisions about people.
3. Recipients
We do not sell personal data. The following providers process it on our behalf, under contract, for the purposes above:
| Provider | What for | Data | Location |
|---|---|---|---|
| Netlify, Inc. | Hosting pentr.sh; contact form | Request data for visitors; contact form submissions | United States |
| Google LLC (Google Fonts) | Serving the site's fonts | IP address and user agent of visitors | United States |
| Google Cloud Platform | Servers that run the Pentr service | All data the service stores | Europe |
| Nebius | Inference for the AI agent | The engagement content sent to the model, as listed in data handling | Europe |
| Stripe | Payments | Payment and billing details | Europe |
| Maileroo | Sending the service's emails | Recipient address and message content | Europe |
| Our email provider | The contact@pentr.sh and security@pentr.sh mailboxes | Messages you send and our replies | — |
The subprocessors page lists the providers of the Pentr service and is updated when they change. We also disclose data to public authorities or courts when the law requires it.
4. International transfers
Netlify, Inc. and Google LLC are established in the United States, so visiting pentr.sh and using the contact form involve a transfer of personal data outside the European Economic Area. These transfers rely on the European Commission's adequacy decision for the EU–US Data Privacy Framework, for providers certified under it, or on the standard contractual clauses adopted by the Commission. The providers of the Pentr service listed above process its data in Europe.
5. How long we keep data
- Page view counts are aggregate and contain no personal data. The per-minute rate-limit counter keyed by IP address expires after one minute.
- Contact form submissions and email are kept for up to 12 months after the last message in the conversation, unless they become part of a customer relationship, in which case they are kept with the account records.
- Account and engagement data are kept while your account exists. The service has no self-service way to delete an account or an engagement; to close your account and have its data deleted, write to contact@pentr.sh. Records we are legally required to keep are retained for the required period, and data may be kept, blocked, for as long as claims arising from the processing can be brought (art. 32 LOPDGDD).
- A run's progress events expire after 24 hours. Sign-in sessions last 24 hours.
- Invoices and billing records are kept for the periods required by Spanish tax and commercial law.
6. Cookies and similar technologies
pentr.sh sets no cookies and stores nothing in your browser: no local storage, no identifiers and no fingerprinting. The page view count described in section 2.1 works without them.
The Pentr console at app.pentr.sh uses one cookie, ory_kratos_session, which keeps you signed in. It is strictly necessary for the service you request and lasts as long as your session. Stripe's checkout pages set their own cookies, described in Stripe's privacy policy.
7. Your rights
You can ask us for access to your personal data, its rectification or erasure, the restriction of its processing, and its portability, and you can object to processing based on legitimate interest. Write to contact@pentr.sh; we answer within one month, and may ask you to confirm your identity first. Exercising these rights is free.
If you think we have not handled your data correctly, you can lodge a complaint with the Spanish data protection authority, the Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, www.aepd.es, or with the supervisory authority of the EU country where you live or work.
8. Security
How the Pentr service isolates runs, holds signing keys and controls access is described in the security documentation.
9. Changes to this policy
We publish any change on this page with a new date. If a change materially affects how we use account holders' data, we tell them by email before it takes effect.
Política de privacidad
Esta política explica qué datos personales se tratan cuando visitas pentr.sh, escribes a Pentr o usas el servicio Pentr en app.pentr.sh, y qué derechos tienes. Responde al artículo 13 del Reglamento General de Protección de Datos (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).
1. Responsable del tratamiento
El responsable es David Cristóbal Lana, empresario individual que opera Pentr (NIF 52473694E), C/ Méndez Núñez, 4, CH24, 28660 Boadilla del Monte (Madrid), España. Contacto para cualquier cuestión de privacidad: contact@pentr.sh. No se ha designado delegado de protección de datos. En esta política, «Pentr» y «nosotros» se refieren a él.
2. Qué tratamos, para qué y con qué base jurídica
2.1 Visitas a pentr.sh
- Alojamiento. pentr.sh se sirve desde Netlify. Para entregar cada página, Netlify recibe tu dirección IP y los datos de la petición (dirección solicitada, agente de usuario del navegador, hora). Base jurídica: nuestro interés legítimo en publicar el sitio y mantenerlo disponible y seguro (art. 6.1.f RGPD).
- Tipografías. Las páginas cargan sus tipografías desde Google Fonts. Tu navegador solicita los archivos a los servidores de Google, que reciben tu dirección IP y tu agente de usuario. Base jurídica: interés legítimo en mostrar el sitio de forma coherente (art. 6.1.f).
- Recuento de visitas. Cuando se carga una página de pentr.sh, tu navegador envía una petición al servidor propio de Pentr en app.pentr.sh con la ruta de la página, la dirección de la página que enlazó a ella (el referente) y el valor
utm_sourcedel enlace, si lo hay. Si haces clic en un enlace a la página de suscripción, envía una segunda petición con el nombre del plan. El servidor convierte estos datos en contadores agregados: visitas por página, sitio de procedencia agrupado en una lista cerrada de categorías (por ejemplo «google» o «linkedin»), origen de campaña y clics por plan. No guarda la dirección completa del referente, tu dirección IP ni ningún identificador, y no registra peticiones individuales. Tu dirección IP solo se usa para limitar cuántas peticiones puede enviar una misma dirección por minuto; ese contador caduca al terminar el minuto. Base jurídica: interés legítimo en saber qué páginas se leen y cómo llegan los visitantes a la página de precios (art. 6.1.f).
2.2 El formulario de contacto y el correo
El formulario de contacto recoge tu nombre, tu correo de trabajo, tu empresa (opcional), el asunto que elijas y tu mensaje. Si llegas desde la página de un marco normativo, también registra cuál. El formulario lo procesa y almacena Netlify Forms, y nosotros lo leemos para responder. Los mensajes que envíes directamente a contact@pentr.sh o security@pentr.sh los trata del mismo modo nuestro proveedor de correo. Base jurídica: aplicación de medidas precontractuales a petición tuya (art. 6.1.b) cuando preguntas por el servicio, y nuestro interés legítimo en atender otras consultas y avisos de seguridad (art. 6.1.f). El nombre, el correo y el mensaje son necesarios para responder; sin ellos no podemos contestar.
2.3 Uso del servicio Pentr
Si creas una cuenta, tratamos:
- tu identidad de acceso: correo electrónico, nombre, credencial de contraseña y sesiones (guardadas en el servicio de identidad, Ory Kratos, que funciona en los servidores propios de Pentr);
- tus registros de usuario y de organización, incluidos tu rol y tu nivel de plan;
- los registros de tus acciones que el servicio conserva como pista de auditoría: declaraciones de titularidad (que guardan el identificador y el correo del usuario que declara), el registro de verificación de activos (que anota el usuario que actúa), las programaciones (que anotan el usuario que las creó) y las claves de API (guardadas como hash);
- los encargos que ejecutas y sus hallazgos, evidencias, informes y enlaces compartidos.
Base jurídica: ejecución del contrato contigo (art. 6.1.b); para la pista de auditoría, también nuestro interés legítimo en poder demostrar quién autorizó cada prueba (art. 6.1.f).
Cuando alguien abre un enlace compartido que le envías, su dirección IP se usa para aplicar los límites por dirección descritos en la documentación de enlaces compartidos. No se le crea ninguna cuenta.
Datos contenidos en los objetivos que pruebas. La salida de las herramientas y las evidencias capturadas durante un encargo pueden contener datos personales alojados en los sistemas que pruebas. Respecto de esos datos, tú eres el responsable y Pentr los trata por cuenta tuya, solo para ejecutar el encargo y conservar sus evidencias, como encargado del tratamiento conforme al artículo 28 del RGPD y a las condiciones del servicio.
2.4 Pagos
Las suscripciones se pagan a través de Stripe. Stripe recoge y trata tus datos de pago; nosotros no recibimos ni guardamos números de tarjeta. De Stripe recibimos los datos de facturación necesarios para emitir facturas y el estado de tu suscripción. Base jurídica: ejecución del contrato (art. 6.1.b) y cumplimiento de obligaciones fiscales y contables (art. 6.1.c).
2.5 Decisiones automatizadas
No tomamos decisiones sobre ti basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos o te afecten de forma similarmente significativa (art. 22 RGPD), y no elaboramos perfiles de visitantes ni de clientes con fines publicitarios. El agente de IA que ejecuta los encargos analiza los sistemas que le pides probar; no toma decisiones sobre personas.
3. Destinatarios
No vendemos datos personales. Los siguientes proveedores los tratan por cuenta nuestra, con contrato, para los fines indicados:
| Proveedor | Para qué | Datos | Ubicación |
|---|---|---|---|
| Netlify, Inc. | Alojamiento de pentr.sh; formulario de contacto | Datos de petición de los visitantes; envíos del formulario | Estados Unidos |
| Google LLC (Google Fonts) | Servir las tipografías del sitio | Dirección IP y agente de usuario de los visitantes | Estados Unidos |
| Google Cloud Platform | Servidores que ejecutan el servicio Pentr | Todos los datos que guarda el servicio | Europa |
| Nebius | Inferencia para el agente de IA | El contenido del encargo que se envía al modelo, según se detalla en tratamiento de datos | Europa |
| Stripe | Pagos | Datos de pago y facturación | Europa |
| Maileroo | Envío de los correos del servicio | Dirección del destinatario y contenido del mensaje | Europa |
| Nuestro proveedor de correo | Los buzones contact@pentr.sh y security@pentr.sh | Los mensajes que envías y nuestras respuestas | — |
La página de subencargados enumera los proveedores del servicio Pentr y se actualiza cuando cambian. También comunicamos datos a autoridades públicas o tribunales cuando la ley lo exige.
4. Transferencias internacionales
Netlify, Inc. y Google LLC están establecidas en Estados Unidos, por lo que visitar pentr.sh y usar el formulario de contacto implican una transferencia de datos personales fuera del Espacio Económico Europeo. Estas transferencias se basan en la decisión de adecuación de la Comisión Europea para el Marco de Privacidad de Datos UE-EE. UU., para los proveedores adheridos a él, o en las cláusulas contractuales tipo aprobadas por la Comisión. Los proveedores del servicio Pentr indicados arriba tratan sus datos en Europa.
5. Plazos de conservación
- Los recuentos de visitas son agregados y no contienen datos personales. El contador de límite por minuto asociado a la dirección IP caduca al cabo de un minuto.
- Los envíos del formulario y los correos se conservan hasta 12 meses después del último mensaje de la conversación, salvo que pasen a formar parte de una relación con un cliente, en cuyo caso se conservan con los registros de la cuenta.
- Los datos de la cuenta y de los encargos se conservan mientras exista tu cuenta. El servicio no ofrece una forma de eliminar por tu cuenta una cuenta o un encargo; para cerrar tu cuenta y que se eliminen sus datos, escribe a contact@pentr.sh. Los registros que la ley nos obliga a conservar se guardan durante el plazo exigido, y los datos pueden conservarse, bloqueados, mientras puedan exigirse responsabilidades derivadas del tratamiento (art. 32 LOPDGDD).
- Los eventos de progreso de una ejecución caducan a las 24 horas. Las sesiones de acceso duran 24 horas.
- Las facturas y los registros de facturación se conservan durante los plazos que exige la normativa fiscal y mercantil española.
6. Cookies y tecnologías similares
pentr.sh no instala cookies ni guarda nada en tu navegador: ni almacenamiento local, ni identificadores, ni huellas digitales del dispositivo. El recuento de visitas descrito en el apartado 2.1 funciona sin ellos.
La consola de Pentr en app.pentr.sh usa una cookie, ory_kratos_session, que mantiene tu sesión iniciada. Es estrictamente necesaria para el servicio que solicitas y dura lo mismo que tu sesión. Las páginas de pago de Stripe instalan sus propias cookies, descritas en la política de privacidad de Stripe.
7. Tus derechos
Puedes solicitarnos el acceso a tus datos personales, su rectificación o supresión, la limitación de su tratamiento y su portabilidad, y puedes oponerte al tratamiento basado en el interés legítimo. Escribe a contact@pentr.sh; respondemos en el plazo de un mes y podemos pedirte antes que acredites tu identidad. El ejercicio de estos derechos es gratuito.
Si consideras que no hemos tratado tus datos correctamente, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, www.aepd.es, o ante la autoridad de control del país de la UE en el que residas o trabajes.
8. Seguridad
Cómo aísla el servicio Pentr las ejecuciones, custodia las claves de firma y controla el acceso se describe en la documentación de seguridad.
9. Cambios en esta política
Publicamos cualquier cambio en esta página con una nueva fecha. Si un cambio afecta de forma significativa al uso que hacemos de los datos de los titulares de cuentas, se lo comunicamos por correo antes de que entre en vigor.