Legal

Terms of service

Last updated 21 October 2026

Versión en español: condiciones del servicio.

1. Who you are contracting with

The Pentr service is provided by David Cristóbal Lana, a sole trader trading as Pentr (NIF 52473694E), C/ Méndez Núñez, 4, CH24, 28660 Boadilla del Monte (Madrid), Spain, contact@pentr.sh ("Pentr", "we"). Full details are in the legal notice.

These terms apply between Pentr and the person or organisation that creates an account or subscribes to a plan ("you"). By creating an account or subscribing you accept them. If you accept them on behalf of an organisation, you confirm that you are authorised to bind it.

The service is offered to businesses and professionals for use in their trade or profession. It is not offered to consumers.

2. The service

Pentr is software that runs penetration testing engagements with an AI agent against targets you specify, maps the findings to the compliance framework you choose, and seals the evidence of each run in a signed, tamper-evident evidence locker. You use it through the console at app.pentr.sh and through the API. The documentation describes how the service works and its limits; it forms part of the description of the service.

We may change, add or remove features. If a change materially reduces the service you pay for, we tell you in advance and you may cancel under section 7.

3. Your account

Give accurate information when you register and keep it current.
Keep your password and API keys confidential. You are responsible for everything done with your account and keys until you tell us they have been compromised.
Tell us without delay at contact@pentr.sh if you suspect unauthorised use of your account.

4. Authorised testing only

Penetration testing a system without its owner's permission can be a criminal offence. You may use Pentr only against systems that you own or that you are authorised in writing by their owner to test, within the limits of that authorisation.

Ownership verification. Before an engagement starts, every target and in-scope entry must be covered by an asset that is verified by a DNS TXT record or a well-known file, or attested by an organisation owner. See ownership verification. This check is a safeguard, not a grant of permission: passing it does not make a test authorised.
Attestations. An attestation is your written declaration, recorded with your identity, that you own the asset or are authorised to test it. Attest only to what is true, and keep the authorisation that supports it for as long as the attestation and the engagements it covers may be relied on.
Scope. You choose the targets, the in-scope and out-of-scope lists and the rules of engagement. Check them before each launch. The out-of-scope list is not verified by Pentr. Third-party services that host your systems (for example cloud providers or CDNs) may have their own testing policies; complying with them is your responsibility.
Impact on tested systems. Security testing can slow down, disrupt or alter the systems tested, even within the rules of engagement. Run engagements at times and against environments where that risk is acceptable to you, and keep backups.
Consequences. We may refuse, stop or suspend any engagement, or suspend your account, if we reasonably believe a test is not authorised or breaches these terms, and we may cooperate with the owner of an affected system or with the authorities.

5. Acceptable use

You must not use Pentr to break the law; to test systems of Pentr, other customers or Pentr's providers outside the responsible disclosure policy; to attempt to access another organisation's data; to interfere with the service or bypass its limits; or to resell or provide the service to third parties except as agreed in writing.

6. Fees and payment

The plans (Entry, Team and Enterprise) and their prices are shown on the pricing page. The price that applies is the one shown when you subscribe or renew. What each plan includes and the limits that apply to it are as described in the documentation; where the pricing page and the documentation differ, the documentation prevails.
Entry and Team are billed monthly or annually in advance, as you choose. Payments are processed by Stripe. Taxes such as VAT are applied as required by law.
The Team plan may start with a seven-day pilot, as described on the pricing page.
Enterprise terms and prices are agreed in a separate written order, which prevails over these terms where they differ.
A subscription renews for the same period until you cancel it. Cancellation takes effect at the end of the period already paid. Fees already paid are not refunded, except where these terms or the law provide otherwise.
If a payment fails, we may suspend the service until it is made.
We may change prices for future periods by giving at least 30 days' notice before your next renewal.

7. Term, suspension and termination

These terms apply while you have an account. You may cancel your subscription at any time, with effect at the end of the current billing period, and ask us to close your account by writing to contact@pentr.sh. We may suspend or terminate your access with immediate effect if you seriously breach these terms (in particular section 4), and otherwise with 30 days' notice. Sections 4, 8, 9, 10, 11 and 13 survive termination.

8. Your data

You keep all rights in the targets, configurations and results you put into or obtain from the service. You grant us the rights needed to process them to provide the service. For personal data contained in that content, you are the controller and Pentr is your processor: we process it only on your instructions as expressed through your use of the service, keep it confidential, protect it with appropriate measures, use the subprocessors listed in the documentation (and tell you of changes), help you answer data subject requests, and delete or return it when your account is closed, except where the law requires us to keep it. The privacy policy covers the personal data we process as controller.

Content of an engagement is sent to the LLM provider listed on the subprocessors page, as described in data handling.

9. Results and evidence

Findings and reports are produced by an automated agent. They can contain false positives and will not find every vulnerability. A Pentr engagement does not certify that a system is secure or that you comply with any framework, and we do not guarantee that any auditor, assessor or authority will accept its evidence. Decisions you take on the basis of the results are yours.

10. Intellectual property

The service, its software, documentation and brand belong to Pentr or its licensors. We grant you a non-exclusive, non-transferable right to use the service for your internal business purposes while your subscription is active. Reports and lockers generated for you may be used and shared by you without restriction. Open-source components, such as pentr-verify, are licensed under their own licences.

11. Liability

The service is provided as described in the documentation. Except as stated in these terms, we give no warranty that it will be uninterrupted or error-free, or fit for a particular purpose. No service level applies unless agreed in an Enterprise order.
You are responsible for, and will hold Pentr harmless against, claims by third parties arising from tests you run without authorisation or in breach of section 4.
Neither party is liable for indirect or consequential loss, or for loss of profit, revenue, data or goodwill.
Each party's total liability arising from these terms in any 12-month period is limited to the fees you paid Pentr in the 12 months before the event giving rise to the claim.
These limits do not apply to liability for wilful misconduct (dolo) or gross negligence, to your obligations under sections 4 and 6, or to any liability that cannot be limited by law.

12. Changes to these terms

We may update these terms. We publish the new version on this page with a new date and, for changes that materially affect you, tell account holders by email at least 30 days before they apply. If you do not agree, you may cancel before the change applies; continuing to use the service afterwards means you accept it.

13. Governing law and jurisdiction

These terms are governed by Spanish law. The courts of the city of Madrid have exclusive jurisdiction over any dispute arising from them, and both parties waive any other jurisdiction that might apply.

14. Contact

Questions about these terms: contact@pentr.sh. Security reports: security@pentr.sh.

Condiciones del servicio

Última actualización: 21 de octubre de 2026

1. Con quién contratas

El servicio Pentr lo presta David Cristóbal Lana, empresario individual con el nombre comercial Pentr (NIF 52473694E), C/ Méndez Núñez, 4, CH24, 28660 Boadilla del Monte (Madrid), España, contact@pentr.sh («Pentr», «nosotros»). Los datos completos figuran en el aviso legal.

Estas condiciones rigen entre Pentr y la persona u organización que crea una cuenta o contrata un plan («tú»). Al crear una cuenta o contratar un plan las aceptas. Si las aceptas en nombre de una organización, confirmas que tienes facultades para obligarla.

El servicio se ofrece a empresas y profesionales para su uso en el marco de su actividad empresarial o profesional. No se ofrece a consumidores.

2. El servicio

Pentr es un software que ejecuta encargos de pruebas de penetración con un agente de IA contra los objetivos que indicas, relaciona los hallazgos con el marco normativo que eliges y sella las evidencias de cada ejecución en un depósito de evidencias firmado y a prueba de manipulaciones. Se usa a través de la consola en app.pentr.sh y de la API. La documentación describe cómo funciona el servicio y sus límites, y forma parte de la descripción del servicio.

Podemos cambiar, añadir o retirar funciones. Si un cambio reduce de forma significativa el servicio por el que pagas, te avisamos con antelación y puedes cancelar conforme al apartado 7.

3. Tu cuenta

Facilita información exacta al registrarte y mantenla actualizada.
Mantén en secreto tu contraseña y tus claves de API. Eres responsable de todo lo que se haga con tu cuenta y tus claves hasta que nos comuniques que se han visto comprometidas.
Avísanos sin demora en contact@pentr.sh si sospechas un uso no autorizado de tu cuenta.

4. Solo pruebas autorizadas

Realizar pruebas de penetración contra un sistema sin permiso de su titular puede constituir un delito. Solo puedes usar Pentr contra sistemas de los que seas titular o que su titular te haya autorizado por escrito a probar, dentro de los límites de esa autorización.

Verificación de titularidad. Antes de que empiece un encargo, cada objetivo y cada entrada del alcance deben estar cubiertos por un activo verificado mediante un registro DNS TXT o un archivo well-known, o declarado por un propietario de la organización. Véase verificación de titularidad. Esta comprobación es una salvaguarda, no una autorización: superarla no convierte una prueba en autorizada.
Declaraciones. Una declaración de titularidad es una manifestación escrita tuya, registrada con tu identidad, de que eres titular del activo o estás autorizado a probarlo. Declara solo lo que sea cierto y conserva la autorización que la respalda mientras la declaración y los encargos que cubre puedan invocarse.
Alcance. Tú eliges los objetivos, las listas de elementos incluidos y excluidos y las reglas del encargo. Revísalos antes de cada lanzamiento. Pentr no verifica la lista de exclusiones. Los terceros que alojan tus sistemas (por ejemplo, proveedores de nube o CDN) pueden tener sus propias políticas sobre pruebas de seguridad; cumplirlas es responsabilidad tuya.
Impacto en los sistemas probados. Las pruebas de seguridad pueden ralentizar, interrumpir o alterar los sistemas probados, incluso dentro de las reglas del encargo. Ejecuta los encargos en momentos y entornos en los que ese riesgo te resulte aceptable, y mantén copias de seguridad.
Consecuencias. Podemos rechazar, detener o suspender cualquier encargo, o suspender tu cuenta, si creemos razonablemente que una prueba no está autorizada o incumple estas condiciones, y podemos colaborar con el titular de un sistema afectado o con las autoridades.

5. Uso aceptable

No puedes usar Pentr para infringir la ley; para probar sistemas de Pentr, de otros clientes o de los proveedores de Pentr fuera de la política de divulgación responsable; para intentar acceder a datos de otra organización; para interferir en el servicio o eludir sus límites; ni para revender el servicio o prestarlo a terceros, salvo acuerdo por escrito.

6. Precios y pago

Los planes (Entry, Team y Enterprise) y sus precios se muestran en la página de precios. Se aplica el precio vigente en el momento de contratar o renovar. Lo que incluye cada plan y los límites que se le aplican son los descritos en la documentación; si la página de precios y la documentación difieren, prevalece la documentación.
Entry y Team se facturan por adelantado, mensual o anualmente, según elijas. Los pagos los procesa Stripe. Los impuestos, como el IVA, se aplican conforme a la ley.
El plan Team puede empezar con un piloto de siete días, según se describe en la página de precios.
Las condiciones y precios de Enterprise se acuerdan en un pedido escrito independiente, que prevalece sobre estas condiciones en lo que difieran.
La suscripción se renueva por el mismo periodo hasta que la canceles. La cancelación surte efecto al final del periodo ya pagado. Los importes ya pagados no se reembolsan, salvo que estas condiciones o la ley dispongan otra cosa.
Si un pago falla, podemos suspender el servicio hasta que se realice.
Podemos cambiar los precios de periodos futuros avisando con al menos 30 días de antelación a tu próxima renovación.

7. Duración, suspensión y terminación

Estas condiciones se aplican mientras tengas una cuenta. Puedes cancelar tu suscripción en cualquier momento, con efecto al final del periodo de facturación en curso, y pedirnos que cerremos tu cuenta escribiendo a contact@pentr.sh. Podemos suspender o terminar tu acceso con efecto inmediato si incumples gravemente estas condiciones (en particular el apartado 4) y, en los demás casos, con 30 días de preaviso. Los apartados 4, 8, 9, 10, 11 y 13 siguen vigentes tras la terminación.

8. Tus datos

Conservas todos los derechos sobre los objetivos, las configuraciones y los resultados que introduces en el servicio u obtienes de él. Nos concedes los derechos necesarios para tratarlos con el fin de prestar el servicio. Respecto de los datos personales contenidos en ese contenido, tú eres el responsable y Pentr es tu encargado del tratamiento: los tratamos solo siguiendo tus instrucciones, expresadas a través de tu uso del servicio; los mantenemos confidenciales; los protegemos con medidas adecuadas; recurrimos a los subencargados indicados en la documentación (y te informamos de los cambios); te ayudamos a atender las solicitudes de los interesados; y los suprimimos o devolvemos al cerrar tu cuenta, salvo que la ley nos obligue a conservarlos. La política de privacidad cubre los datos personales que tratamos como responsables.

El contenido de un encargo se envía al proveedor de LLM indicado en la página de subencargados, según se describe en tratamiento de datos.

9. Resultados y evidencias

Los hallazgos y los informes los produce un agente automatizado. Pueden contener falsos positivos y no encontrarán todas las vulnerabilidades. Un encargo de Pentr no certifica que un sistema sea seguro ni que cumplas un marco normativo, y no garantizamos que ningún auditor, evaluador o autoridad acepte sus evidencias. Las decisiones que tomes a partir de los resultados son tuyas.

10. Propiedad intelectual

El servicio, su software, su documentación y su marca pertenecen a Pentr o a sus licenciantes. Te concedemos un derecho no exclusivo e intransferible a usar el servicio para tus fines empresariales internos mientras tu suscripción esté activa. Puedes usar y compartir sin restricciones los informes y depósitos generados para ti. Los componentes de código abierto, como pentr-verify, se rigen por sus propias licencias.

11. Responsabilidad

El servicio se presta tal como se describe en la documentación. Salvo lo previsto en estas condiciones, no garantizamos que funcione sin interrupciones ni errores, ni que sea adecuado para un fin concreto. No se aplica ningún nivel de servicio salvo que se acuerde en un pedido Enterprise.
Eres responsable de las reclamaciones de terceros derivadas de pruebas que ejecutes sin autorización o incumpliendo el apartado 4, y mantendrás indemne a Pentr frente a ellas.
Ninguna de las partes responde de daños indirectos o consecuenciales, ni del lucro cesante o la pérdida de ingresos, datos o reputación.
La responsabilidad total de cada parte derivada de estas condiciones en cualquier periodo de 12 meses se limita a los importes que hayas pagado a Pentr en los 12 meses anteriores al hecho que origine la reclamación.
Estos límites no se aplican a la responsabilidad por dolo o culpa grave, a tus obligaciones de los apartados 4 y 6, ni a la responsabilidad que la ley no permita limitar.

12. Cambios en estas condiciones

Podemos actualizar estas condiciones. Publicamos la nueva versión en esta página con una nueva fecha y, si los cambios te afectan de forma significativa, avisamos por correo a los titulares de cuentas al menos 30 días antes de que se apliquen. Si no estás de acuerdo, puedes cancelar antes de que se apliquen; seguir usando el servicio después supone aceptarlos.

13. Ley aplicable y jurisdicción

Estas condiciones se rigen por la ley española. Los juzgados y tribunales de la ciudad de Madrid son los únicos competentes para cualquier controversia derivada de ellas, y ambas partes renuncian a cualquier otro fuero que pudiera corresponderles.

14. Contacto

Consultas sobre estas condiciones: contact@pentr.sh. Avisos de seguridad: security@pentr.sh.