1. Dónde están tus datos

Cited funciona con pocos proveedores. La lista completa, con lo que recibe cada uno y dónde, está en nuestra lista de subencargados.

Aplicación y código de servidor: Vercel, en su región Este de Estados Unidos (Washington D. C.). Las páginas públicas también se guardan en caché en la red mundial de Vercel.
Base de datos e inicio de sesión: Supabase, en Estados Unidos. Aquí están tu cuenta, tus empresas, análisis, informes y el avance de tus correcciones.
Pagos: Stripe. Los datos de la tarjeta van directo a Stripe; nunca vemos ni guardamos un número de tarjeta completo.
Correo: Resend, en Estados Unidos, para informes, enlaces de inicio de sesión y los correos que aceptaste.
Chat de soporte: Crisp, en la Unión Europea, solo si usas el chat.
Copias de seguridad: una copia cifrada de la base de datos cada noche, conservada unos 35 días.

Casi todo esto está fuera de Canadá. Allí está protegido por contrato, y los tribunales y autoridades de ese país pueden acceder a ello según sus leyes.

2. Qué leemos

Tu sitio web público, y nada más. Un análisis lee tu página de inicio, tu robots.txt y hasta 5 páginas públicas más del mismo sitio que parezcan de servicios, zonas, «quiénes somos» o precios. No envía cookies, nunca inicia sesión y nunca llena formularios.
Se identifica. Las solicitudes llevan el agente de usuario CitedBot/1.0 (+https://cited.aaronmorais.com/methodology), respetan tu robots.txt y se detienen si lo bloqueas. Se rechazan las direcciones de redes privadas o internas.
Respuestas de la IA sobre tu mercado. Hacemos a ChatGPT Search, Gemini y Google AI Overviews las preguntas de tu informe, a través de nuestro proveedor de datos de búsqueda. Las preguntas contienen el nombre, la categoría y el mercado de tu empresa, nunca tu correo.
Fichas públicas de empresas que aparecen en esas respuestas o en los resultados de búsqueda, las mismas páginas que cualquiera puede abrir.

3. Lo que nunca hacemos

Nunca te pedimos contraseñas. Ni de tu sitio, ni de tu perfil de Google Business Profile, ni de nada. Si alguien que dice ser nosotros te la pide, no somos nosotros.
Nunca publicamos nada por ti. Las correcciones son textos listos para copiar. Tú, o tu encargado web, deciden qué se publica. Cited no tiene acceso a tu sitio, tus fichas ni tus redes sociales.
Nunca vendemos tus datos ni los usamos para segmentar anuncios. La analítica y la medición de anuncios están apagadas hasta que las permitas.
Nunca ponemos tu informe en los buscadores. Los enlaces de informe son largos y aleatorios, y están marcados para no indexarse. Cualquiera con quien compartas un enlace puede ver ese informe, así que compártelo con cuidado.

4. Cuánto tiempo los conservamos y cómo borrarlos

Conservamos tu cuenta e informes mientras la cuenta esté abierta. Los informes gratuitos se borran 24 meses después del último análisis o visita, y las cuentas cerradas tras 24 meses sin iniciar sesión. Con la sesión iniciada, Configuración te permite descargar una copia de tus datos en un formato legible por máquina o borrar tú mismo tu cuenta e informes, al instante. Las copias de seguridad caducan unos 35 días después. Los registros de facturación se conservan por ley fiscal, sin tu nombre ni tu correo. Todos los plazos están en nuestra política de privacidad.

5. Cifrado

Cada página y llamada a la API usa HTTPS, y se indica a los navegadores que no acepten otra cosa (HSTS).
Nuestro proveedor de base de datos cifra los datos almacenados.
Las copias de seguridad nocturnas se cifran antes de guardarse, y la clave para leerlas se guarda aparte.
Las claves de API y los secretos están en la configuración cifrada de nuestro proveedor de alojamiento, nunca en el código. Nuestras comprobaciones automáticas verifican que ninguno llegue al navegador.
Verificamos la firma de los avisos de pago de Stripe antes de actuar.

6. Quién puede ver tus datos

Tú: cada tabla tiene seguridad a nivel de fila, así que un cliente con sesión iniciada solo puede leer sus propias empresas e informes.
Nosotros: Cited son dos fundadores. Solo ellos acceden a los sistemas de producción. Las herramientas de administración solo se abren para el correo confirmado del propietario, verificado por el servidor en cada solicitud.
Nuestros proveedores: cada uno recibe solo lo que su función necesita (ver la lista de subencargados), bajo su propio contrato.

7. Disponibilidad e incidentes

Nuestra página de estado muestra en vivo el estado de los análisis, los motores de IA, el panel y la facturación, y los incidentes de los últimos 30 días. Hay comprobaciones automáticas cada 15 minutos, una prueba completa de registro e informe en producción cada 12 horas y después de cada versión, y cada semana restauramos una copia de seguridad en una base de pruebas para demostrar que funciona.

Si alguna vez se pierde, consulta o divulga información personal sin autorización, lo anotamos en nuestro registro de incidentes, evaluamos el riesgo y lo contenemos. Si existe un riesgo real de daño grave, avisamos a las personas afectadas y al Comisionado de Privacidad de Canadá y, para residentes de Quebec, a la Commission d'accès à l'information, como exige la ley.

8. Reportar una vulnerabilidad

¿Encontraste un problema de seguridad? Escribe a morais.aaron@gmail.com con «Seguridad» en el asunto e incluye los pasos para reproducirlo. Respondemos en dos días hábiles y te mantenemos al tanto hasta corregirlo. Nuestro archivo security.txt tiene los mismos datos.

Prueba solo con tu propia cuenta y tus datos, nunca leas ni cambies los de otra persona, y no hagas pruebas de carga ni escaneos automáticos que inicien análisis reales: cada uno nos cuesta dinero. Aún no tenemos recompensas pagadas, pero te daremos crédito si lo deseas.

9. Lo que (todavía) no tenemos

Somos una empresa pequeña. No tenemos certificación SOC 2, ISO 27001 ni ninguna otra certificación de seguridad, ni una prueba de penetración externa por ahora. Varios de nuestros proveedores tienen sus propias certificaciones; sus páginas están enlazadas en la lista de subencargados. Si tu empresa necesita que respondamos un cuestionario de seguridad, escríbenos y lo responderemos con honestidad.