1. Quiénes somos y cuál es nuestro rol
STORYSTEPPER LIMITED, Room 701, Unit 108, 7/F, Tower B, New Mandarin Plaza, 14 Science Museum Road, Tsim Sha Tsui, Kowloon, Hong Kong, opera VozRadar.
Respecto de tu cuenta, la facturación, los registros de seguridad, nuestro sitio web y nuestra propia analítica, actuamos como responsable del tratamiento: decidimos para qué y cómo se tratan esos datos.
Respecto del contenido que incorporas a un espacio de trabajo y de los datos que conectas a él (las páginas de tu sitio web, los prompts monitoreados, los nombres de competidores, los datos de Search Console y de analítica, las rutas de archivos del repositorio, los destinatarios de reportes y los destinos de alertas), tú actúas como responsable del tratamiento y nosotros como tu encargado del tratamiento. Tratamos esos datos únicamente para prestarte el servicio y conforme a tus instrucciones. Si tu organización necesita un acuerdo de tratamiento de datos, escribe a [email protected].
2. Qué datos recopilamos
Cuenta e inicio de sesión
- Dirección de correo electrónico, nombre visible y un hash de la contraseña si te registras con correo electrónico y contraseña. Las contraseñas nunca se guardan en texto plano.
- Si inicias sesión con Google: el identificador de tu cuenta de Google, tu dirección de correo electrónico y tu nombre de perfil, solicitados con los permisos (scopes)
openid email profile. - Códigos de un solo uso de seis dígitos enviados por correo electrónico al registrarte, para restablecer la contraseña y cuando cambias tu dirección de correo electrónico. Los códigos se guardan como hash, vencen y solo pueden usarse una vez.
- Registros de sesión: un token de sesión en forma de hash, el user agent del navegador, la dirección IP al iniciar sesión y las fechas de creación, de última actividad y de vencimiento. Puedes ver y revocar tus sesiones activas en Configuración de la cuenta.
- Intentos fallidos de inicio de sesión (correo electrónico y dirección IP), que se usan para limitar los intentos de adivinar contraseñas.
- El resultado de un desafío de Cloudflare Turnstile en los formularios de registro, inicio de sesión y restablecimiento de contraseña, que se usa para bloquear el abuso automatizado.
Espacio de trabajo y facturación
- Nombre del espacio de trabajo, tu rol en él, los miembros que invitas (su dirección de correo electrónico) y las invitaciones que envías.
- Si te suscribes a un plan de pago: los identificadores de cliente y de suscripción de Stripe vinculados a tu espacio de trabajo, el plan, el estado y las fechas de renovación. Los datos de tarjeta y de facturación se ingresan directamente en la página de checkout de Stripe, y nosotros no los almacenamos.
- Un registro de los conectores agregados, configurados, sincronizados o eliminados, y de quién lo hizo.
Contenido que creas en un espacio de trabajo
- Proyectos: el dominio que conectas, el nombre de la marca, la industria, los nombres y alias de los competidores, los mercados y las ciudades.
- Prompts monitoreados y variantes de prompts, que son preguntas de benchmark que tú apruebas, no conversaciones privadas.
- Páginas públicas rastreadas del dominio que conectas y de los dominios de competidores (solo páginas públicas).
- Datos de marca aprobados, recomendaciones, experimentos y notas.
- Reportes para clientes, incluido un enlace para compartir si creas uno, y cuántas veces se abrió.
- Canales de alerta: direcciones de correo electrónico, URL de incoming webhooks de Slack o URL de webhooks que configuras. Los destinos se guardan cifrados.
Datos que generamos
- Respuestas de IA recopiladas de las superficies de respuesta que habilitas, con sus citas, el modelo, la superficie, la configuración regional y la ubicación, además de la respuesta sin procesar del proveedor.
- Clasificaciones de esas respuestas (si una marca se menciona, se recomienda o se desaconseja), afirmaciones extraídas y resultados de verificación de datos.
- Métricas agregadas de visibilidad, estadísticas de fuentes y estimaciones de demanda.
- Uso de los proveedores y costo estimado por ejecución, que se usan para los límites del plan y los presupuestos.
Datos conectados opcionales
Solo si los conectas, y solo con acceso de lectura:
- Google Search Console: rendimiento de consultas y páginas de tu propiedad en el mercado del proyecto, que se usa como señal de demanda para los prompts.
- Google Analytics 4: sesiones referidas por asistentes de IA, por día y por página de destino, almacenadas como datos agregados. No se importan datos de analítica a nivel de usuario.
- GitHub: la lista de rutas de archivos del repositorio que elijas y los metadatos de los pull requests que vincules a experimentos. VozRadar lee rutas de archivos y metadatos de PR, nunca el contenido de los archivos. Los datos del repositorio no se envían a proveedores de IA.
Los tokens de los conectores se guardan cifrados y puedes desconectarlos en cualquier momento desde la página de integraciones del proyecto, lo que detiene cualquier sincronización posterior.
Visitantes del sitio web
Nuestro proveedor de red perimetral (edge), Cloudflare, ve la dirección IP y los metadatos de cada solicitud para poder servir y proteger el sitio.
Si te unes a la lista de espera previa al lanzamiento, guardamos tu dirección de correo electrónico, el lugar del sitio desde donde te uniste, la fecha y tu dirección IP para prevenir abusos. Te enviamos un correo electrónico de confirmación y te contactamos cuando se abra el acceso. Cloudflare Turnstile revisa el formulario para detectar abuso automatizado.
Analítica y seguimiento de errores
Usamos PostHog, un servicio de analítica de producto, para entender cómo se usan nuestro sitio web y nuestra app y para detectar errores. Funciona en nuestras páginas públicas, en las páginas de inicio de sesión y de registro, en la app con la sesión iniciada y en los enlaces de reportes compartidos. Tu navegador envía los datos de analítica a nuestro propio dominio y nuestro servidor los reenvía a PostHog, por lo que PostHog recibe tu dirección IP y los metadatos de la solicitud a través de nosotros. Recopilamos:
- las páginas que ves, la página desde la que llegaste y los parámetros de campaña (UTM) que traiga el enlace;
- los clics en elementos de la página, incluida la llamada a la acción en la que hiciste clic;
- navegador, dispositivo, sistema operativo y tamaño de pantalla;
- una ubicación aproximada (país, región y ciudad) derivada de tu dirección IP;
- mediciones de rendimiento de la página (web vitals);
- errores de JavaScript y solicitudes fallidas a nuestra API: el mensaje de error, el stack trace y la URL de la página;
- eventos del producto, como unirte a la lista de espera, registrarte, iniciar y cerrar sesión, iniciar el acceso con Google, crear un proyecto, completar los pasos de configuración inicial, crear un reporte, aceptar una invitación, iniciar o completar un checkout, cambiar de plan, abrir el portal de facturación y eliminar la cuenta.
La grabación de sesiones no está habilitada. No usamos la analítica para publicidad, no la vendemos y no hacemos seguimiento de tu actividad en otros sitios. Que la analítica pueda guardar algo en tu navegador, y que se vincule a tu cuenta, depende de tu respuesta al aviso de cookies, descrito en la sección 7.
3. Para qué los tratamos y con qué base legal
| Finalidad | Datos | Base legal (RGPD/GDPR) |
|---|---|---|
| Crear y proteger tu cuenta, sesiones, códigos de un solo uso y limitación de intentos de inicio de sesión | Datos de cuenta e inicio de sesión | Contrato; interés legítimo en la seguridad |
| Gestionar la lista de espera previa al lanzamiento y prevenir el abuso del formulario | Correo electrónico, origen, fecha y dirección IP de la lista de espera | Tu solicitud de unirte; interés legítimo en la prevención de abusos |
| Analítica y seguimiento de errores sin guardar nada en tu dispositivo (modo sin cookies, sección 7) | Datos de analítica indicados en la sección 2; un hash de la dirección IP y del user agent que cambia cada día | Interés legítimo en medir y mejorar nuestro sitio web y nuestra app |
| Analítica con cookies y almacenamiento del navegador, y vinculación de la analítica a tu cuenta cuando tienes la sesión iniciada | Datos de analítica indicados en la sección 2; identificador de la cookie de analítica; ID de usuario, dirección de correo electrónico y nombre visible | Consentimiento, otorgado en el aviso de cookies y revocable en Configuración de cookies |
| Prestar el servicio: rastreo, descubrimiento de prompts, recopilación y clasificación de respuestas de IA, recomendaciones, reportes, alertas | Contenido del espacio de trabajo, datos generados, datos conectados | Contrato (como encargado, conforme a tus instrucciones) |
| Facturación y aplicación de los límites del plan | Datos del espacio de trabajo y de facturación, medición de uso | Contrato; obligación legal (fiscal y contable) |
| Correo electrónico transaccional: códigos, invitaciones, alertas que configuraste | Dirección de correo electrónico, contenido del mensaje | Contrato |
| Prevención de abusos, límites de presupuesto, respuesta a incidentes | Registros de inicio de sesión, medición de uso, registros de auditoría | Interés legítimo en operar un servicio confiable |
| Responder solicitudes y cumplir obligaciones legales | Datos de contacto, registros | Obligación legal; interés legítimo |
No vendemos datos personales y no usamos el contenido de tu espacio de trabajo para entrenar modelos.
4. Quién trata datos en nuestro nombre
Usamos los siguientes subencargados. Cada uno recibe solo lo que su finalidad requiere.
| Subencargado | Finalidad | Categorías de datos |
|---|---|---|
| Cloudflare, Inc. | Proxy perimetral y TLS para el sitio web y la app; protección contra bots Turnstile en los formularios de cuenta; almacenamiento de objetos R2 para respuestas sin procesar de IA y respaldos de la base de datos | Dirección IP y metadatos de solicitudes; resultado del desafío Turnstile; respuestas sin procesar de los proveedores; respaldos cifrados |
| Stripe, LLC y sus afiliadas, incluido Link (merchant of record a través de Stripe Managed Payments) | Checkout, suscripciones, recibos y facturas, impuestos, reembolsos, disputas de pago, gestión de suscripciones en link.com | Nombre, correo electrónico, dirección de facturación, identificación fiscal y datos de pago que ingresas en el checkout; identificador del espacio de trabajo |
| Resend, Inc. | Correo electrónico transaccional | Dirección de correo electrónico del destinatario; contenido del correo (códigos de un solo uso, invitaciones, mensajes de alerta) |
| PostHog, Inc. (PostHog Cloud, región de Estados Unidos) | Analítica de producto y del sitio web y seguimiento de errores para nuestro propio sitio y nuestra app | Datos de analítica indicados en la sección 2; dirección IP y metadatos de solicitudes; si aceptas las cookies: un identificador anónimo de analítica y, con la sesión iniciada, tu ID de usuario, dirección de correo electrónico y nombre visible |
| Google LLC | Inicio de sesión con Google; conectores de Search Console y GA4 (solo lectura, opcionales) | ID de la cuenta de Google, correo electrónico, nombre de perfil; rendimiento de consultas/páginas de Search Console; sesiones agregadas de GA4 referidas por IA |
| GitHub, Inc. | GitHub App opcional de solo lectura | Rutas de archivos del repositorio, metadatos de pull requests; tokens de instalación |
| OpenAI | Superficie de respuesta (API con búsqueda web) | Texto del prompt, mercado, idioma, ciudad o región configurada en el proyecto |
| Google LLC (Gemini API) | Superficie de respuesta (grounding con Google Search) | Texto del prompt, idioma |
| Perplexity AI, Inc. | Superficie de respuesta (API de búsqueda web) | Texto del prompt, país, ciudad o región configurada en el proyecto |
| Anthropic, PBC (API de Claude) | Superficie de respuesta (Claude con búsqueda web), solo cuando la selecciona un espacio de trabajo con un plan que la incluye | Texto del prompt, país, ciudad o región configurada en el proyecto |
| SerpApi, LLC | Captura de resultados de búsqueda de Google AI Mode y AI Overview; consultas a Google Trends para estimaciones de demanda | Texto del prompt o de la palabra clave, ubicación, idioma |
| Anthropic, PBC | Clasificar las respuestas de IA recopiladas; extraer un perfil de marca de tus páginas públicas; generar y localizar prompts candidatos; briefs de contenido; verificación de datos frente a tus datos de marca aprobados | Texto de respuestas de IA, texto de páginas públicas rastreadas de tu sitio, datos de marca, texto de prompts, nombres de competidores |
| Voyage AI | Eliminación semántica de duplicados entre prompts candidatos (solo donde esté habilitada) | Texto del prompt |
| OVHcloud (OVH US, Estados Unidos) | Servidores y base de datos PostgreSQL que ejecutan el servicio | Todos los datos del servicio |
Como merchant of record, Stripe también usa los datos que ingresas en el checkout para sus propios fines, como la prevención de fraude, los impuestos y sus obligaciones legales, conforme a la Política de privacidad de Link en link.com/privacy.
Los prompts que se envían a las superficies de respuesta son tus preguntas de benchmark aprobadas más el mercado y la ubicación configurados en el proyecto. No incluyen tu nombre, tu correo electrónico ni los datos de tu cuenta.
Los destinos de alertas que configuras (espacios de trabajo de Slack, endpoints de webhooks, destinatarios de correo electrónico) reciben el contenido de alerta que solicitaste. Son tus destinatarios, no nuestros subencargados, y se rigen por los acuerdos que tengas con ellos.
Las alertas de infraestructura sobre el propio servicio (métricas agregadas del sistema, sin contenido de clientes) pueden entregarse a nuestros operadores a través de Telegram.
Actualizaremos esta tabla cuando cambie un subencargado. Los cambios importantes se anuncian conforme a la sección 12.
5. Transferencias internacionales
Varios de los subencargados anteriores están establecidos en Estados Unidos o tratan datos allí; los datos de analítica que se envían a PostHog se tratan y almacenan en Estados Unidos. Cuando los datos salen del Espacio Económico Europeo, del Reino Unido o de otra jurisdicción con normas sobre transferencias, nos basamos en las Cláusulas Contractuales Tipo del destinatario o en una decisión de adecuación, además del cifrado y los controles de acceso descritos en la sección 8. Nuestros propios servidores se encuentran en OVHcloud (OVH US, Estados Unidos).
6. Cuánto tiempo los conservamos
| Datos | Conservación |
|---|---|
| Cuenta, espacios de trabajo, proyectos, prompts, respuestas, clasificaciones, reportes, experimentos | Mientras exista tu cuenta o tu espacio de trabajo |
| Correo electrónico y fecha de registro en la lista de espera | Hasta el lanzamiento, o hasta que nos pidas eliminarlos |
| IP de registro en la lista de espera | Se elimina del registro de la lista de espera después de 30 días |
| Sesiones | 30 días de inactividad y luego se eliminan; puedes revocar cualquier sesión antes |
| Códigos de un solo uso enviados por correo electrónico | Se eliminan aproximadamente un día después de vencer |
| Registros de inicios de sesión fallidos | Se eliminan después de un día |
| Respuestas sin procesar de los proveedores (almacenamiento de objetos) | 90 días después de recopilar la respuesta; el texto de la respuesta y sus citas se conservan en el proyecto |
| Tokens de conectores y datos importados por conectores | Hasta que desconectes el conector o elimines el proyecto |
| Enlaces para compartir reportes | Hasta que venzan o los desactives |
| Eventos de analítica | Se conservan en PostHog; se eliminan si lo solicitas a [email protected] |
| Registros de facturación | Según lo exija la legislación fiscal y contable |
| Respaldos de la base de datos | 30 días |
Eliminar tu cuenta. En Configuración de la cuenta → Eliminar cuenta, eliminas tu cuenta y todos los espacios de trabajo en los que eres el único miembro, con todos sus proyectos, respuestas y reportes. Las respuestas sin procesar de los proveedores almacenadas para esos espacios de trabajo se eliminan del almacenamiento de objetos poco después, normalmente en menos de una hora, y las copias en los respaldos de la base de datos vencen en un plazo de 30 días. En los espacios de trabajo compartidos se elimina tu membresía, y los registros que creaste (experimentos, lotes de monitoreo) se conservan para los demás miembros sin tu identidad asociada. Si eres el único propietario de un espacio de trabajo que usan otras personas, primero debes transferir la propiedad o quitar a esas personas. Eliminar tu cuenta también restablece la identidad de analítica en tu navegador.
8. Seguridad
- El tráfico se cifra en tránsito; al servidor de origen solo se puede acceder a través de Cloudflare.
- Las contraseñas se guardan como hash. Los tokens de sesión y los códigos de un solo uso se almacenan únicamente como hash.
- Las credenciales de los conectores y los destinos de alertas se cifran en reposo con una clave que se guarda fuera de la base de datos.
- La membresía en el espacio de trabajo se verifica del lado del servidor en cada solicitud. Pruebas automatizadas protegen contra el acceso entre espacios de trabajo.
- Las respuestas sin procesar de IA se guardan en un almacenamiento de objetos privado, sin URL públicas.
- Las API keys de los proveedores permanecen en el servidor y nunca se envían al navegador.
- Las métricas que contienen información de uso y gasto se sirven en un puerto interno que nunca se expone.
- Las páginas web rastreadas se tratan como entrada no confiable; las instrucciones que aparezcan en el texto de una página nunca se ejecutan.
- Respaldos cifrados de la base de datos cada noche.
Ningún sistema es perfectamente seguro. Si nos enteramos de una violación de seguridad que afecte tus datos personales, te lo notificaremos sin demora indebida, como lo exige la ley.
9. Tus derechos
Según dónde vivas, puedes tener derecho a acceder a tus datos personales, rectificarlos, exportarlos, limitar su tratamiento o eliminarlos, a oponerte al tratamiento basado en el interés legítimo y a retirar tu consentimiento cuando el consentimiento sea la base legal. También tienes derecho a presentar una queja ante tu autoridad de control.
Gran parte de esto está disponible dentro del producto: editar tu perfil y tu dirección de correo electrónico, revocar sesiones, exportar observaciones y citas en CSV desde un proyecto, desconectar conectores, cambiar tu decisión sobre las cookies de analítica en Configuración de cookies, en el pie de página del sitio, y eliminar tu cuenta. Para cualquier otra cosa, escribe a [email protected]. Respondemos en un plazo de un mes.
Si eres miembro del espacio de trabajo de un cliente y la solicitud se refiere a datos que controla ese cliente, podemos remitirte a él o actuar conforme a sus instrucciones.
10. Menores de edad
VozRadar es una herramienta para empresas y no está dirigida a menores de 16 años. No recopilamos sus datos a sabiendas.
11. Datos públicos de la web y nuestro rastreador
Para medir la visibilidad, rastreamos páginas públicas del dominio que conectas y de dominios de competidores. El rastreador se identifica con el user agent VozRadarBot, respeta robots.txt, limita la frecuencia de solicitudes a cada host y no intenta eludir inicios de sesión ni muros de pago. Los propietarios de sitios que quieran limitar el rastreo pueden hacerlo en robots.txt. Las respuestas de IA que recopilamos pueden nombrar a personas u organizaciones que son públicas en ese contexto; las usamos únicamente para calcular métricas de visibilidad y de fuentes para el proyecto que hizo la pregunta.
Qué visita el rastreador, qué almacena y cómo bloquearlo o reducir su ritmo se describe en la página de nuestro rastreador.
12. Cambios a esta política
Publicaremos los cambios aquí y actualizaremos la fecha de entrada en vigor. En el caso de cambios importantes, lo notificaremos a los titulares de cuentas por correo electrónico o en la app antes de que entren en vigor.
13. Contacto
Preguntas y solicitudes sobre privacidad: [email protected]
Dirección postal: STORYSTEPPER LIMITED, Room 701, Unit 108, 7/F, Tower B, New Mandarin Plaza, 14 Science Museum Road, Tsim Sha Tsui, Kowloon, Hong Kong
Número de registro de la empresa: 80655938-000-06-26-8