1. Quiénes somos

Cited es operado por Aaron Morais, una empresa unipersonal con sede en Toronto, Ontario, Canadá. Nuestro responsable de privacidad, quien responde por la forma en que tratamos la información personal, es Aaron Morais, dueño del negocio. Puedes escribirle a morais.aaron@gmail.com. Esta política está redactada para cumplir con la Ley de Protección de Información Personal y Documentos Electrónicos de Canadá (PIPEDA), la Ley 25 de Quebec y la Ley Antispam de Canadá (CASL).

2. Información que recopilamos

Solicitudes de análisis: el sitio web, el nombre del negocio, el mercado, la categoría y el correo electrónico que envías, además de datos públicos y contenido de las páginas de ese sitio web y de perfiles públicos del negocio.
Cuentas: tu correo electrónico, tus inicios de sesión, los negocios, mercados y preguntas que sigues, y el avance de tus correcciones.
Facturación: Stripe recopila los datos de pago. Nosotros recibimos tus identificadores de cliente y de suscripción, el plan, la frecuencia de facturación, el estado, el correo electrónico y el código de promoción, nunca el número completo de la tarjeta.
Preferencias de correo: si aceptaste recibir correos de seguimiento, cuándo, y cualquier cancelación de la suscripción.
Personas a las que reenvías correcciones: si envías correcciones a la persona que maneja tu sitio web, usamos su dirección solo para enviar ese correo. Guardamos un hash unidireccional de ella, no la dirección, además de su solicitud de no recibir más correos.
Soporte: lo que nos escribes por chat en vivo o por correo electrónico.
Registros técnicos y del producto: señales de abuso derivadas de la dirección IP (guardadas como hashes unidireccionales), horas de las solicitudes, tipo de navegador y de dispositivo, errores y eventos clave del producto, como una solicitud de análisis, un pago o un cambio de plan, que registramos en nuestra propia base de datos para operar el servicio.

No envíes contraseñas, información de salud ni otra información personal sensible en un análisis o en el chat.

3. Cómo la usamos

ejecutar, guardar y enviarte por correo el análisis y el reporte que pediste;
ejecutar nuevos análisis semanales, historial, alertas y correcciones en los planes de pago;
crear y proteger cuentas, cobrar suscripciones y dar soporte;
prevenir abusos, fraude, el acceso a URL inseguras y costos fuera de control;
depurar y mejorar el servicio, y medir nuestro marketing;
cumplir obligaciones legales, fiscales y contables, y hacer cumplir nuestros términos.

No vendemos información personal, no rentamos listas de correo ni usamos tu información para publicidad conductual entre contextos ni para anuncios personalizados. No tomamos decisiones sobre ti basadas únicamente en un tratamiento automatizado.

4. Proveedores de servicios y transferencias fuera de Canadá

Estos proveedores tratan información en nuestro nombre conforme a sus propios contratos y términos de privacidad. Solo pueden usarla para prestarnos su servicio.

Proveedor	Para qué	Qué recibe	Cuándo
Vercel (EE. UU.)	Alojamiento, funciones de servidor y procesos de análisis en segundo plano	Todo lo que el sitio envía o recibe, incluidas la dirección IP y los registros de solicitudes	En cada visita
Supabase (EE. UU.)	Base de datos, inicio de sesión y almacenamiento de archivos	Correo de la cuenta, análisis, reportes, estado de la suscripción, opciones de privacidad y eventos propios del producto	Cuando solicitas un análisis o inicias sesión
DataForSEO	Ejecuta las consultas a ChatGPT, Gemini y Google AI Overviews y aporta los datos de búsqueda de cada análisis	Nombre del negocio, sitio web, categoría y mercado tal como aparecen en las preguntas del análisis. Nunca tu correo electrónico	Cuando se ejecuta un análisis o un nuevo análisis
Stripe (EE. UU. y Canadá)	Pago, cobros recurrentes, facturas, portal de facturación y controles antifraude	Nombre, correo electrónico, dirección de facturación, método de pago e historial de compras. Nunca vemos el número completo de la tarjeta	Cuando inicias un pago o te suscribes
Resend (EE. UU.)	Envío de correos de reportes, de cuenta y (si lo aceptas) de seguimiento	Dirección de correo, contenido de los mensajes y eventos de entrega, rebote y queja	Cuando te escribimos
Cloudflare Turnstile	Distinguir a los visitantes reales de los bots en el formulario de análisis	Dirección IP y señales del navegador	Cuando usas el formulario de análisis
Sentry (EE. UU.)	Monitoreo de errores	Detalles técnicos de un error: página, tipo de navegador y dispositivo, y el código que falló. La recopilación de datos personales predeterminada está desactivada	Cuando algo falla
Crisp (UE)	Chat de soporte en vivo	Mensajes y cualquier nombre o correo que escribas en el chat, además de detalles del navegador, el dispositivo y la página. Si abres el chat con tu sesión iniciada, el correo de tu cuenta, tu plan y una referencia de cuenta firmada, para responder primero a los clientes de pago. El widget usa su propio almacenamiento para mantener abierta una conversación	El widget se carga en las páginas públicas; los mensajes, solo si chateas
PostHog (EE. UU.)	Analítica del producto y grabación de sesión enmascarada	Páginas, eventos del producto, tipo de dispositivo, país aproximado y una grabación con cada campo de formulario oculto	Solo después de que permites Analítica
Google Analytics, Tag Manager y Google Ads (EE. UU.)	Medición agregada y reportes de conversiones de anuncios	Por defecto, señales limitadas sin cookies (ver Cookies). Con tu consentimiento: cookies de analítica y de conversión, y el identificador de clic de anuncios	En cada visita, en modo restringido hasta que elijas
GitHub (EE. UU.) y, opcionalmente, Cloudflare R2 o Backblaze B2	Copias de seguridad nocturnas cifradas de la base de datos para recuperación ante desastres	Una copia cifrada de la base de datos. Las copias vencen después de unos 35 días	Cada noche
Discord (EE. UU.)	Alertas internas del equipo	Nombre o dominio del negocio en los cambios de plan, y las primeras líneas de un chat de soporte. Nunca datos de facturación	Cuando ocurren esos eventos
Gmail (EE. UU.)	Nuestra bandeja de soporte y privacidad	Lo que sea que nos escribas	Cuando nos escribes
OpenStreetMap	Imágenes de mapas en los reportes	Dirección IP y detalles del navegador, como en cualquier solicitud de imagen	Cuando un reporte muestra un mapa

La mayoría de estos proveedores guardan y tratan la información fuera de Canadá, principalmente en Estados Unidos, y Crisp en la Unión Europea. Mientras está allí, la información está protegida por contrato, pero los tribunales, las autoridades policiales y las de seguridad nacional de ese país pueden acceder a ella conforme a sus leyes. Elegimos proveedores que se comprometen por contrato a proteger la información que manejan para nosotros. Antes de que la información personal de residentes de Quebec salga de Quebec, evaluamos su sensibilidad, para qué se usa, cómo está protegida y las leyes del lugar al que va, como exige la Ley 25 de Quebec; solo usamos un proveedor si esa protección es adecuada. La región de cada proveedor está en nuestra lista de subencargados.

También podemos divulgar información cuando la ley lo exija, para proteger a las personas o al servicio, para investigar un fraude o como parte de una venta o reorganización del negocio, con garantías de confidencialidad.

5. Correo electrónico

Siempre enviamos los correos necesarios para lo que pediste: el reporte que solicitaste, los enlaces para iniciar sesión, los recibos, los problemas de pago y los avisos importantes sobre tu cuenta o nuestras políticas. No son marketing y no requieren tu consentimiento.

Los correos de seguimiento (una serie breve después de un análisis gratis, alertas semanales de cambios, consejos para empezar y recordatorios de ofertas reales) solo se envían con tu consentimiento: o marcaste la casilla de aceptación en el formulario de análisis, que nunca viene marcada, o eres cliente de pago, en cuyo caso nos basamos en tu compra y dejamos de enviarlos 6 meses después de tu última factura pagada. Cada correo de seguimiento identifica a Cited, incluye nuestra dirección postal y tiene un enlace para darte de baja con un clic, que se aplica de inmediato y en cualquier caso dentro de 10 días hábiles. Darte de baja no detiene los correos de reportes o de cuenta mencionados arriba.

Si reenvías correcciones a la persona que maneja tu sitio web, ese correo dice quién lo pidió y le permite dejar de recibir más correcciones reenviadas.

6. Cookies y tecnologías similares

Necesarias, siempre activas: cookies de inicio de sesión, una cookie de sesión anónima, el registro de tus opciones de privacidad, Cloudflare Turnstile en el formulario de análisis y el almacenamiento propio del widget de chat de Crisp para que una conversación siga abierta. También guardamos en tu navegador y en tu sesión anónima cualquier identificador de clic de anuncios de Google (gclid, gbraid o wbraid) del enlace por el que llegaste, y lo asociamos al pago que inicies, para que una compra pueda vincularse con el anuncio que la originó. Solo lo enviamos a Google si permites Marketing, y eliminamos los identificadores sin usar después de 90 días. Si llegas por el enlace de referido de un cliente o el enlace de una organización socia, recordamos ese código o el nombre del socio (no quién eres) durante 60 o 90 días, para que se aplique su descuento y se acredite al socio si te suscribes.

Analítica, desactivada hasta que la permitas: PostHog solo se carga después de que permites Analítica. Registra páginas, eventos del producto, tipo de dispositivo, país aproximado y una grabación de la sesión en la que cada campo de formulario y el contenido privado de los reportes están ocultos. Google Analytics también puede entonces guardar sus cookies.

Marketing, desactivado hasta que lo permitas: permite que Google Ads guarde cookies de conversión y reciba el identificador de clic de anuncios, para que podamos ver qué anuncios llevan a análisis y suscripciones. Nunca activamos la personalización de anuncios ni el remarketing, aunque permitas Marketing.

Google antes de que elijas: fuera de Quebec, la etiqueta de Google se carga en cada página en modo de consentimiento, con el almacenamiento de analítica, el almacenamiento de anuncios, los datos de usuario para anuncios y la personalización de anuncios denegados. En ese estado no guarda ni lee cookies, los identificadores de clic de anuncios se ocultan y solo recibe señales limitadas sin cookies (la página, la hora, el tipo de navegador, el estado de tu consentimiento y si se completó un análisis o una suscripción), junto con tu dirección IP, como en cualquier solicitud web. Google las usa para reportes de conversiones agregados y modelados.

Todos los visitantes tienen las mismas opciones de aceptación, con todo lo opcional desactivado por defecto. Los visitantes de Quebec tienen valores aún más protectores hasta que permitan Analítica o Marketing: la etiqueta de Google no se carga en absoluto, así que no recibe nada, y el chat de Crisp solo se carga cuando decides chatear. Vuelve a abrir “Opciones de privacidad” al final de cualquier página para cambiar o retirar tu consentimiento; PostHog deja de grabar en cuanto lo haces.

7. Cuánto tiempo la guardamos

Datos de la cuenta, del negocio, de los análisis y de los reportes: mientras tu cuenta esté abierta. Al eliminar tu cuenta se borran. Si tu suscripción terminó y no has iniciado sesión en 24 meses, eliminamos la cuenta de la misma forma.
Reportes gratis sin cuenta: se guardan para que el enlace siga funcionando y se eliminan cuando lo pidas o 24 meses después del último análisis o visita.
Respuestas sin procesar de los proveedores dentro de los análisis, y nuestras copias de las notificaciones de pago sin procesar de Stripe: se recortan después de 90 días.
Identificadores de clic de anuncios y etiquetas de campaña detalladas: 90 días después de tu última visita.
Eventos de analítica del producto: 25 meses.
Eventos de entrega de correos y registros de correos de seguimiento: 13 meses.
Preferencias de correo: mientras des tu consentimiento, y 24 meses después de que te des de baja o de que el consentimiento venza.
Un registro con hash de cuándo y cómo aceptaste o rechazaste los correos de seguimiento: 3 años después de tu último cambio, para poder demostrar el consentimiento como lo exige la ley antispam.
Claves con hash para limitar abusos, derivadas de direcciones IP: 7 días.
Registros operativos: unos 90 días.
Copias de seguridad cifradas: unos 35 días.
Registros con hash de solicitudes de privacidad: 3 años.
Facturas y registros de facturación: al menos seis años, como lo exige la ley fiscal canadiense, y se eliminan después de siete. Stripe guarda sus propios registros según su política.

8. Tus derechos

Puedes pedir acceder a tu información personal, corregirla o eliminarla, obtener la información que nos diste en un formato estructurado y de uso común (también enviada, si lo pides, a otra organización que indiques) o retirar tu consentimiento. Con tu sesión iniciada, en Configuración puedes descargar una copia de tus datos legible por máquina y eliminar de forma permanente tu cuenta y tus reportes por tu cuenta. Primero cancela cualquier suscripción activa en el portal de facturación. La eliminación borra tu cuenta, negocios, análisis, reportes, eventos de analítica y preferencias de correo. No borra los registros de facturación que debemos conservar (sin tu nombre ni tu correo), las copias de seguridad hasta que venzan, un registro con hash de la solicitud, el registro con hash de tu consentimiento de correo ni una entrada de supresión con hash que impide enviar correos a una dirección que rebotó, presentó una queja o se dio de baja.

Para cualquier otra cosa, escribe a morais.aaron@gmail.com. Es posible que primero te pidamos confirmar que controlas la dirección de correo o el negocio, y respondemos dentro de 30 días. Si no quedas satisfecho, puedes presentar una queja ante la Oficina del Comisionado de Privacidad de Canadá o, en Quebec, ante la Commission d'accès à l'information du Québec.

Si una de nuestras páginas te nombra a ti o a tu negocio (por ejemplo, una página local de «a quién recomienda la IA» o un estudio), puedes pedirnos que te quitemos o que dejemos de indexarla. Escribe a morais.aaron@gmail.com; te quitamos de todas esas páginas y lo anotamos para que una actualización nunca te vuelva a incluir.

Cómo lo gestionamos en Cited: el responsable de privacidad aprueba quién puede acceder a la información personal (hoy solo los dos fundadores), responde cada solicitud y queja, lleva un registro de incidentes de confidencialidad y revisa nuestros plazos de conservación y proveedores al menos una vez al año. Una queja enviada a morais.aaron@gmail.com recibe respuesta por escrito en 30 días.

9. Seguridad

Usamos controles de acceso, políticas de seguridad a nivel de fila en la base de datos, transmisión cifrada, copias de seguridad cifradas, secretos administrados, webhooks de pago firmados, verificaciones de seguridad de URL y límites contra abusos. Los reportes gratis usan enlaces largos e imposibles de adivinar y no se indexan, pero cualquier persona con quien compartas un enlace puede ver ese reporte. No compartas tus enlaces para iniciar sesión. Ningún servicio es perfectamente seguro. Registramos cada incidente de confidencialidad (pérdida de información personal, o acceso o divulgación no autorizados) en un registro, aunque nadie corra riesgo. Si uno crea un riesgo real de daño grave, te avisamos a ti y al Comisionado de Privacidad de Canadá y, para residentes de Quebec, a la Commission d'accès à l'information, como exige la ley. Nuestra página de confianza y seguridad explica cómo protegemos los datos y cómo reportar una vulnerabilidad.

10. Menores

Cited es un servicio para negocios y no está dirigido a menores de 18 años.

11. Cambios

Publicaremos los cambios aquí con una nueva fecha de vigencia y, si son importantes, avisaremos a los titulares de cuentas por correo electrónico o en el producto. Consulta también nuestros términos del servicio.