Privacy policy
Effective date: November 2, 2026
This policy explains what personal data OnlyCastle collects through onlycastle.com, the customer portal at portal.onlycastle.com, the emails we send and our products (Warden, DNSMaster and Chiron), why we collect it, who we share it with and what you can do about it. We collect as little as we can to provide the service.
Who we are
OnlyCastle is a product of F Venture, based in Miami, Florida, United States (“OnlyCastle”, “we”, “us”). We are the controller of the personal data described here. For any privacy question or request, write to privacy@onlycastle.com.
This website
- No cookies, no analytics, and no advertising or tracking scripts. Fonts and images are served from onlycastle.com.
- Our web host and our network security provider keep standard server logs (IP address, browser, page requested, date and time) to run and protect the site. They are kept for up to 90 days and then deleted.
- If you email us, we use your message and address only to answer you.
The customer portal
When you create an account or buy a subscription, we collect:
- Account data: work email address, name and company name.
- Security data: a hash of your password (never the password itself), two-factor settings, sign-in times and IP addresses, and a log of security-relevant actions on your account.
- License and subscription data: products, quantities, plans, license history and installation IDs.
- Billing data: payments are handled by Stripe. We receive invoices, the billing address and the card brand and last four digits. We never see or store full card numbers.
The portal uses only strictly necessary cookies: one that keeps you signed in and one that protects forms against forgery. They are not used for tracking or advertising, so no cookie banner is needed.
Emails we send
- Service emails: we send the emails needed to run your account: sign-up and confirmation links, password resets, license and renewal notices, payment receipts and security alerts. You can’t opt out of these while your account is open, because they are part of the service.
- Marketing emails: we only send product news or offers if you have opted in, using a checkbox that is never pre-ticked. We keep a record of when and how you gave consent. Every marketing email has an unsubscribe link. We honour unsubscribes promptly, and always within 10 business days.
- No bought lists: we never buy, rent, borrow or scrape email addresses, and we don’t send email to people who haven’t signed up with us.
- How email is delivered: we send email through Mailgun (Sinch Email). Mailgun processes the recipient address, the message content and delivery events (delivered, bounced, complained about) on our behalf, under a data processing agreement. We use bounce and complaint data only to stop sending to addresses that don’t work or don’t want our email.
- Every email we send identifies OnlyCastle as the sender, comes from an onlycastle.com address and includes a link to this policy. Marketing emails also include our postal address, as the law requires.
What our products send
Installed products contact the portal only to activate, renew licenses and check for updates. Those requests carry the product name and version, the installation ID (a random value created on first start), the license or activation code, a random token that changes at each restart, and the IP address the request comes from. Your firewall rules, DNS queries, host inventories, logs and other operational data stay on your own systems and are not sent to us.
Why we use it (legal bases)
- To provide the portal, licenses, updates and service emails you signed up for (performance of a contract).
- To keep accounts, licenses and our systems secure and to prevent fraud and abuse (legitimate interest).
- To keep invoices and tax records (legal obligation).
- To send marketing email (your consent, which you can withdraw at any time).
We don’t sell or share personal data for advertising, and we don’t make decisions about you based solely on automated processing.
Who we share it with
Only with providers that help us run the service, under contract, for that purpose only:
- Stripe: payments and invoices.
- Mailgun (Sinch Email): email delivery.
- HostGator: website hosting.
- Cloudflare: network security and DNS.
The customer portal runs on servers we operate ourselves.
We may also disclose data when the law requires it, to protect our rights or the safety of others, or to a buyer if the business is sold, under the same protections as this policy.
International transfers
Some providers process data outside your country, including in the United States. Where required, transfers use appropriate safeguards such as the European Commission’s standard contractual clauses.
How long we keep it
- Account data: while your account is open and for up to 24 months after it closes.
- Invoices and tax records: for as long as the law requires.
- Security logs: 12 months.
- Proof of marketing consent: for as long as we send you marketing email, and for 3 years afterwards.
- Unsubscribed addresses: kept on a suppression list so that we never email you again.
Your rights
Depending on where you live (for example under the GDPR, the UK GDPR, the CCPA/CPRA, Brazil’s LGPD or Mexico’s data protection law), you can ask to access, correct, export or delete your data, object to or restrict some uses, and withdraw consent. Write to privacy@onlycastle.com. We answer within 30 days and may need to confirm your identity first. We won’t treat you differently for using these rights. You can also complain to your data protection authority.
Security
We protect data with encryption in transit, two-factor sign-in, separated signing keys, least-privilege access and monitoring. No system is perfectly secure. If a breach affects your data, we will tell you and the authorities as the law requires. To report a security issue, see security.txt or write to security@onlycastle.com.
Children
Our services are for businesses and professionals aged 18 or over. They are not directed at children, and we don’t knowingly collect children’s data.
Changes
We’ll post any change here and update the effective date. Material changes are emailed to account holders before they take effect.
Contact
F Venture, Miami, Florida, United States. privacy@onlycastle.com
Política de privacidad
Fecha de vigencia: 2 de noviembre de 2026
Esta política explica qué datos personales recopila OnlyCastle a través de onlycastle.com, del portal de clientes en portal.onlycastle.com, de los correos que enviamos y de nuestros productos (Warden, DNSMaster y Chiron). También explica para qué los usamos, con quién los compartimos y qué puede hacer usted al respecto. Recopilamos lo mínimo necesario para prestar el servicio.
Quiénes somos
OnlyCastle es un producto de F Venture, con sede en Miami, Florida, Estados Unidos (“OnlyCastle”, “nosotros”). Somos responsables del tratamiento de los datos personales descritos aquí. Para cualquier consulta o solicitud de privacidad, escriba a privacy@onlycastle.com.
Este sitio web
- Sin cookies, sin analítica y sin scripts de publicidad o rastreo. Las fuentes y las imágenes se sirven desde onlycastle.com.
- Nuestro proveedor de hosting y nuestro proveedor de seguridad de red guardan registros estándar del servidor (dirección IP, navegador, página solicitada, fecha y hora) para operar y proteger el sitio. Se conservan durante un máximo de 90 días y luego se eliminan.
- Si nos escribe, usamos su mensaje y su dirección solo para responderle.
El portal de clientes
Cuando crea una cuenta o contrata una suscripción, recopilamos:
- Datos de la cuenta: correo de trabajo, nombre y nombre de la empresa.
- Datos de seguridad: un hash de su contraseña (nunca la contraseña), la configuración de doble factor, fechas e IP de inicio de sesión y un registro de las acciones de seguridad de su cuenta.
- Datos de licencias y suscripciones: productos, cantidades, planes, historial de licencias e IDs de instalación.
- Datos de facturación: los pagos los procesa Stripe. Recibimos las facturas, la dirección de facturación y la marca y los últimos cuatro dígitos de la tarjeta. Nunca vemos ni guardamos el número completo.
El portal usa solo cookies estrictamente necesarias: una que mantiene su sesión iniciada y otra que protege los formularios contra falsificaciones. No se usan para rastreo ni publicidad, por lo que no hace falta un aviso de cookies.
Correos que enviamos
- Correos del servicio: enviamos los correos necesarios para su cuenta: enlaces de registro y confirmación, restablecimiento de contraseña, avisos de licencia y renovación, recibos de pago y alertas de seguridad. No es posible darse de baja de estos mientras la cuenta esté abierta, porque forman parte del servicio.
- Correos de marketing: solo enviamos novedades u ofertas si usted dio su consentimiento, mediante una casilla que nunca viene marcada. Guardamos constancia de cuándo y cómo lo dio. Todo correo de marketing incluye un enlace para darse de baja. Atendemos las bajas con prontitud y siempre en menos de 10 días hábiles.
- Sin listas compradas: nunca compramos, alquilamos, tomamos prestadas ni extraemos direcciones de correo, y no escribimos a personas que no se registraron con nosotros.
- Cómo se entregan los correos: enviamos los correos a través de Mailgun (Sinch Email). Mailgun trata por cuenta nuestra la dirección del destinatario, el contenido del mensaje y los eventos de entrega (entregado, rebotado, denunciado como spam), según un acuerdo de tratamiento de datos. Usamos los rebotes y las quejas solo para dejar de escribir a direcciones que no funcionan o que no desean nuestros correos.
- Todo correo que enviamos identifica a OnlyCastle como remitente, sale de una dirección de onlycastle.com e incluye un enlace a esta política. Los correos de marketing incluyen además nuestra dirección postal, como exige la ley.
Qué envían nuestros productos
Los productos instalados contactan al portal solo para activarse, renovar licencias y buscar actualizaciones. Esas solicitudes incluyen el nombre y la versión del producto, el ID de instalación (un valor aleatorio creado en el primer arranque), la licencia o el código de activación, un token aleatorio que cambia en cada reinicio y la IP de origen. Sus reglas de firewall, consultas DNS, inventarios de servidores, registros y demás datos operativos permanecen en sus propios sistemas y no se nos envían.
Para qué los usamos (bases legales)
- Para prestar el portal, las licencias, las actualizaciones y los correos del servicio que contrató (ejecución de un contrato).
- Para mantener seguras las cuentas, las licencias y nuestros sistemas, y prevenir fraudes y abusos (interés legítimo).
- Para conservar facturas y registros fiscales (obligación legal).
- Para enviar correos de marketing (su consentimiento, que puede retirar en cualquier momento).
No vendemos ni compartimos datos personales con fines publicitarios, y no tomamos decisiones sobre usted basadas únicamente en tratamientos automatizados.
Con quién los compartimos
Solo con proveedores que nos ayudan a operar el servicio, bajo contrato y únicamente para ese fin:
- Stripe: pagos y facturas.
- Mailgun (Sinch Email): envío de correos.
- HostGator: hosting del sitio web.
- Cloudflare: seguridad de red y DNS.
El portal de clientes funciona en servidores que operamos nosotros mismos.
También podemos revelar datos cuando la ley lo exija, para proteger nuestros derechos o la seguridad de otros, o a un comprador si se vende el negocio, con las mismas protecciones de esta política.
Transferencias internacionales
Algunos proveedores tratan datos fuera de su país, incluso en los Estados Unidos. Cuando corresponde, las transferencias usan garantías adecuadas, como las cláusulas contractuales tipo de la Comisión Europea.
Cuánto tiempo los conservamos
- Datos de la cuenta: mientras la cuenta esté abierta y hasta 24 meses después de cerrarla.
- Facturas y registros fiscales: durante el tiempo que exija la ley.
- Registros de seguridad: 12 meses.
- Constancia del consentimiento de marketing: mientras le enviemos correos de marketing y durante 3 años después.
- Direcciones dadas de baja: se guardan en una lista de exclusión para no volver a escribirle.
Sus derechos
Según dónde viva (por ejemplo, el RGPD, el RGPD del Reino Unido, la CCPA/CPRA, la LGPD de Brasil o la ley de protección de datos de México), puede pedir acceder, corregir, exportar o eliminar sus datos, oponerse a ciertos usos o limitarlos, y retirar su consentimiento. Escriba a privacy@onlycastle.com. Respondemos en un plazo de 30 días y es posible que primero debamos confirmar su identidad. No le daremos un trato distinto por ejercer estos derechos. También puede reclamar ante su autoridad de protección de datos.
Seguridad
Protegemos los datos con cifrado en tránsito, inicio de sesión con doble factor, claves de firma separadas, acceso con el mínimo privilegio y monitoreo. Ningún sistema es perfectamente seguro. Si una brecha afecta sus datos, se lo informaremos a usted y a las autoridades según lo exija la ley. Para informar un problema de seguridad, consulte security.txt o escriba a security@onlycastle.com.
Menores
Nuestros servicios son para empresas y profesionales mayores de 18 años. No están dirigidos a menores y no recopilamos a sabiendas datos de menores.
Cambios
Publicaremos cualquier cambio aquí y actualizaremos la fecha de vigencia. Los cambios importantes se envían por correo a los titulares de cuentas antes de que entren en vigor.
Contacto
F Venture, Miami, Florida, Estados Unidos. privacy@onlycastle.com