Política de uso responsable de OSINT

OSINT (inteligencia de fuentes abiertas) es la recopilación y el análisis de información disponible legalmente para el público con el fin de responder una pregunta concreta: si un enlace es peligroso, quién administra un dominio, si una dirección IP tiene mala reputación o qué información tuya está expuesta.

Según la herramienta, RastroIQ consulta:

• registros abiertos de internet: DNS, certificados (Certificate Transparency) y registros de dominios (RDAP);
• información pública de plataformas a través de sus interfaces oficiales (por ejemplo, la API de GitHub);
• la existencia de perfiles públicos con un nombre de usuario en sitios web;
• datos públicos de la cadena de bloques de Bitcoin;
• proveedores autorizados de reputación y geolocalización de red, con licencias que permiten su uso (ver Fuentes y atribuciones).

No consultamos información protegida por contraseña, contenido privado ni bases de datos filtradas, y no eludimos controles de acceso de ninguna fuente.

• Herramientas de análisis, no de intrusión. RastroIQ no ofrece funciones para acceder sin autorización a sistemas, vulnerar contraseñas, interceptar comunicaciones ni sustraer información protegida.
• Consultas puntuales, no vigilancia. Cada consulta responde a una pregunta del usuario. No creamos bases de personas, no armamos perfiles combinando fuentes y no ofrecemos alertas sobre terceros.
• Solicitudes normales, no escaneos. Las herramientas que revisan un sitio hacen solicitudes como las de un navegador; no escanean puertos, no prueban vulnerabilidades ni hacen fuerza bruta. El monitoreo continuo solo funciona en dominios que demostraste que son tuyos.
• Lo sensible, fuera. Sin búsqueda facial ni biometría. La búsqueda de nombres de usuario excluye sitios de citas, contenido adulto, política y salud. La revisión de filtraciones solo funciona sobre servicios que tú eliges en tu navegador, nunca sobre el correo de otra persona.
• Resultados privados y temporales. Solo los ve quien hizo la consulta, no se indexan y se borran con el historial.

Algunos ejemplos de usos legítimos:

• revisar tu propia huella digital y lo que expones en internet;
• analizar un enlace, un mensaje o un archivo sospechoso antes de abrirlo o responder;
• evaluar la seguridad de tus sitios, dominios, correo y cuentas;
• prevenir fraudes: verificar un sitio, una dirección de pago o una infraestructura antes de confiar en ella;
• responder a incidentes de ciberseguridad de sistemas que administras o que te autorizaron a evaluar;
• investigación periodística, académica o de interés público, dentro de la ley y con sus estándares éticos;
• formación y educación en seguridad digital.

El análisis de información públicamente accesible puede ser una actividad legítima cuando se hace conforme a la ley. Pero que un dato se pueda encontrar en internet no significa que cualquier recopilación, combinación, almacenamiento o divulgación posterior sea lícita.

• La Superintendencia de Industria y Comercio ha señalado que la información accesible al público no es, por eso solo, información de naturaleza pública, y que su tratamiento debe respetar los principios de la Ley 1581 de 2012 (finalidad, necesidad, circulación restringida, entre otros).
• El Código Penal colombiano sanciona a quien, sin estar facultado y con provecho propio o ajeno, obtenga, compile, divulgue o emplee datos personales (art. 269F, Ley 1273 de 2009), y a quien acceda a sistemas sin autorización (art. 269A).
• La legalidad de una investigación depende de los datos tratados, los métodos empleados, la finalidad y el contexto.

Si tu investigación trata datos de otras personas, eres responsable de tener una finalidad legítima y, cuando corresponda, las autorizaciones o la base legal necesarias. RastroIQ, a su vez, cumple sus propias obligaciones como responsable del tratamiento (ver Política de privacidad).

Está prohibido usar RastroIQ, directa o indirectamente, para:

• acosar, hostigar, intimidar o amenazar a una persona;
• doxxing: reunir o difundir datos personales de alguien para exponerlo, avergonzarlo o ponerlo en riesgo;
• suplantar la identidad de una persona u organización;
• vigilar o rastrear a una persona sin su conocimiento o sin una base legal (incluida la vigilancia de parejas o exparejas);
• acceder sin autorización a sistemas, cuentas o información protegida, o preparar ese acceso;
• cometer o preparar fraudes, estafas o extorsiones;
• discriminar ilegalmente o tomar decisiones de crédito, empleo, vivienda, seguros o educación sobre personas;
• perseguir a periodistas, activistas, defensores de derechos humanos, víctimas o testigos;
• comprar, vender o comercializar datos personales de forma ilícita;
• elaborar perfiles o dossiers ilegítimos de personas;
• investigar a niños, niñas o adolescentes, o tratar sus datos;
• buscar o inferir datos sensibles (salud, orientación sexual, religión, política, origen étnico o biometría);
• automatizar consultas masivas, eludir límites o revender resultados;
• cualquier otra conducta contraria a la legislación aplicable.

• Consulta solo lo necesario para tu finalidad y no combines fuentes para armar perfiles de personas.
• No publiques ni compartas datos personales que encuentres, salvo que la ley lo permita y sea necesario.
• Borra los resultados cuando ya no los necesites; tu historial se borra solo según tu plan.
• Verifica antes de concluir: una coincidencia no es una identificación.
• Si alguien te pide dejar de tratar sus datos, evalúa su solicitud de buena fe.

• Cuotas diarias y cupos mensuales que impiden consultas masivas, y límites por minuto en cada herramienta.
• Las herramientas de servidor requieren una cuenta con correo verificado y aceptación de estas condiciones.
• Protección contra el uso de nuestros servidores para alcanzar redes internas o privadas.
• La Auditoría de mi GitHub solo funciona sobre tu propia cuenta, con tu autorización y revocando el acceso al terminar.
• Las herramientas locales procesan contraseñas, tokens, fotos y documentos en tu navegador, sin enviarlos.
• Registro de uso y de acciones administrativas para investigar abusos.

• Las fuentes pueden tener errores, estar desactualizadas o bloquear consultas; el resultado indica qué fuente falló.
• Un nombre de usuario puede pertenecer a personas distintas en sitios distintos.
• La geolocalización de una IP es aproximada (país y red) y cambia con el tiempo.
• Las listas de reputación tienen falsos positivos y falsos negativos: «sin alertas» no es «seguro».
• El análisis con inteligencia artificial puede equivocarse; las señales sin cita literal se descartan.

Podemos advertir, limitar, suspender o cerrar la cuenta según la gravedad, como prevén los Términos. Si recibimos una orden de una autoridad competente, entregaremos la información que la ley exija. Si alguien está en peligro, contacta de inmediato a las autoridades (en Colombia, la línea 123).

Si crees que alguien usa RastroIQ para acosar, vigilar, estafar o perjudicar a una persona, usa Denuncias y solicitudes o escribe a admin@rastroiq.com. No necesitas una cuenta. Incluye lo que sepas: qué ocurrió, cuándo, enlaces o capturas y cómo contactarte si quieres respuesta.

Recibirás un número de radicado. Revisamos las denuncias de abuso con prioridad y, cuando corresponde, aplicamos medidas sobre la cuenta y conservamos la evidencia para las autoridades. Por la privacidad de todas las personas, puede que no podamos contarte las medidas concretas adoptadas sobre otra cuenta.