Política de privacidad

Quiénes somos

Doclight es una herramienta de seguimiento de visibilidad en IA desarrollada y operada por [TODO: legal entity name and registered address] ("Doclight", "nosotros"). Somos responsables del tratamiento de los datos personales descritos en esta política, salvo cuando indicamos que tratamos datos por cuenta de un cliente.

Para cualquier cuestión sobre esta política: [email protected].

Esta política cubre:

• la web y la documentación en doclight.app
• la app de Doclight en app.doclight.app y la API en api.doclight.app
• el escáner web gratuito en try.doclight.app
• los SDK de Doclight (@doclight/core, @doclight/node, @doclight/express, @doclight/mcp) y el servidor MCP de Doclight

Qué datos recogemos y por qué

Tu cuenta

Cuando creas una cuenta recogemos tu dirección de correo y una contraseña. La contraseña se guarda solo como un hash unidireccional (argon2), nunca en texto legible. También guardamos el código de invitación o referido opcional que introduzcas, el idioma de la interfaz, un país que puedes declarar si quieres, si tu correo está verificado, y las fechas de inicio de sesión y los intentos fallidos que usamos para proteger la cuenta.

Si se ofrece el inicio de sesión con Google o GitHub y lo usas, recibimos el identificador de cuenta y el correo que ese proveedor comparte con nosotros.

Usamos estos datos para crear y proteger tu cuenta, permitirte iniciar sesión y contactarte sobre tu cuenta.

Lo que añades a Doclight

Las marcas, dominios, alias, competidores, preguntas, mercados, idiomas, reglas de alerta y calendarios de informes que configuras se guardan en tu espacio de trabajo. Si invitas a compañeros, guardamos su correo y su rol. Si usas el asistente de la app, tus conversaciones se guardan para que puedas retomarlas.

Mediciones y análisis

Para medir la visibilidad en IA enviamos las preguntas que sigues a proveedores de IA a través de sus API oficiales (actualmente OpenAI, Anthropic, Perplexity y Google) y guardamos las respuestas junto con las marcas, enlaces y fuentes que aparecen en ellas.

Si añades un sitio web, obtenemos sus páginas públicas para comprobar lo legible que es para los sistemas de IA. Las auditorías de tareas de agente cargan tu sitio en un navegador automatizado y pueden guardar capturas de las páginas visitadas. Algunos análisis (evaluaciones de contenido, revisión de sentimiento y afirmaciones, el asistente) envían contenido de páginas, respuestas guardadas o tus mensajes a un proveedor de IA para producir un resultado.

No incluyas datos personales de otras personas en las preguntas que sigues ni en los mensajes al asistente.

Pagos

Los planes de pago se venden a través de Lemon Squeezy, que actúa como comerciante registrado (merchant of record) y trata tus datos de pago según su propia política de privacidad. Nunca vemos ni guardamos números de tarjeta. Recibimos y guardamos tus identificadores de cliente y suscripción en Lemon Squeezy, tu plan, el estado de la suscripción y las fechas de renovación o cancelación, para darte el acceso que has pagado.

Claves de API

Cuando creas una clave de API guardamos solo un hash de la clave y un prefijo corto que la identifica. La clave completa se te muestra una vez y no podemos recuperarla. Cada solicitud hecha con una clave se comprueba según su alcance y su límite de solicitudes.

Los SDK de Doclight

Los SDK se ejecutan en tu propio sitio web o servidor MCP y envían eventos a api.doclight.app con una clave de ingesta que tú creas. Para los visitantes de tu sitio y los usuarios de tu servidor MCP, tú eres el responsable de esos datos y nosotros los tratamos por tu cuenta. [TODO: confirm processor role and whether a data processing agreement is offered]

Para las solicitudes a tu web, los SDK envían la ruta (sin cadena de consulta), el método HTTP, el código de estado, la duración, la etiqueta del rastreador o agente, el user agent, el referente, una marca de tiempo, un identificador de sesión y los metadatos que decidas adjuntar. Del referente guardamos solo el origen (esquema, host y puerto); la ruta y la consulta se descartan. No se guardan cuerpos de solicitud o respuesta, cabeceras, cookies ni cadenas de consulta, y el middleware de Express no recoge direcciones IP.

Para servidores MCP, @doclight/mcp envía el nombre de la herramienta, el nombre del servidor, el estado, la duración, el tipo de error y los identificadores de sesión y traza. No se guardan los argumentos ni los resultados de las herramientas.

Los valores que proporcionas tú (identificadores de sesión, metadatos, etiquetas) se envían tal cual. Usa identificadores cortos y no sensibles, nunca correos, tokens ni nombres de clientes. Más detalles en la documentación de privacidad de los SDK (en inglés).

El servidor MCP de Doclight

El servidor MCP se ejecuta en tu propio equipo y llama a la API de Doclight con tu clave de API. Sus solicitudes, como listar marcas, añadir preguntas o iniciar una ejecución, se tratan igual que esas mismas acciones en la app.

El escáner gratuito

El escáner de try.doclight.app revisa un sitio web que introduces, sin necesidad de cuenta. [TODO: confirm what the scanner stores (the URL, the results, any email address), for how long, and whether results are publicly viewable by link]

Correos electrónicos

Enviamos los correos necesarios para tu cuenta (verificación del correo, restablecimiento de contraseña, avisos de seguridad) y las alertas e informes que actives. Puedes cambiar o pausar informes y alertas en la app. Si estabas en nuestra antigua lista de espera, puedes darte de baja de esos correos en cualquier momento.

Si nos escribes, guardamos la correspondencia para responderte y dejar constancia de lo acordado.

Registros de seguridad y auditoría

Guardamos un registro de auditoría de las acciones de cuenta y espacio de trabajo relevantes para la seguridad, con la dirección IP desde la que se hizo la solicitud. Estos registros se conservan después de eliminar una cuenta, quitando el vínculo con la cuenta, para que el historial de los espacios de trabajo compartidos siga siendo coherente. [TODO: audit log retention period]

Nuestro proveedor de alojamiento guarda registros técnicos de solicitudes, incluidas direcciones IP. [TODO: hosting log retention period]

Esta web, cookies y analítica

doclight.app no usa cookies de analítica, publicidad ni seguimiento. Guarda tu elección de tema claro u oscuro en el almacenamiento local (local storage) de tu navegador. El enrutado por idioma puede guardar el idioma elegido en una cookie para que la web se abra en ese idioma. [TODO: confirm whether the language cookie is set in production]

La app guarda tu sesión en el almacenamiento de sesión (session storage) del navegador y recuerda preferencias de la interfaz (marca seleccionada, tema, idioma, barra lateral y estado del tutorial) en el almacenamiento local. El inicio de sesión con Google o GitHub usa una cookie de corta duración para proteger el proceso.

La web y la app pueden usar Sentry para supervisar errores, que registra detalles técnicos como la página, el navegador y el mensaje de error. [TODO: confirm Sentry is enabled in production, its data region and retention]

Bases jurídicas

Cuando se aplica el RGPD de la UE o del Reino Unido, nos basamos en:

• Contrato: para ofrecerte tu cuenta, tu espacio de trabajo, las mediciones, la facturación y los correos que el servicio necesita.
• Interés legítimo: para mantener el servicio seguro, prevenir abusos, supervisar errores y mejorar el producto. Puedes oponerte a este tratamiento.
• Obligación legal: para conservar los registros que exige la ley, por ejemplo a efectos fiscales.
• Consentimiento: cuando la ley lo exige. Puedes retirarlo en cualquier momento.

Con quién compartimos datos

No vendemos datos personales ni los compartimos con fines publicitarios. Solo los compartimos con proveedores que nos ayudan a operar Doclight, con contratos que limitan su uso:

• Railway: alojamiento, bases de datos y registros de solicitudes
• OpenAI, Anthropic, Perplexity y Google: API de IA usadas para mediciones y análisis
• Lemon Squeezy: pagos, suscripciones e impuestos
• Resend: envío de correo [TODO: confirm email provider]
• Sentry: supervisión de errores [TODO: confirm]
• [TODO: object storage provider for screenshots]

[TODO: complete subprocessor list with each provider's location, and confirm each AI provider's API data use and retention terms]

También podemos revelar datos cuando la ley lo exija, o para proteger nuestros derechos, a nuestros usuarios o al público.

Transferencias internacionales

Nuestros proveedores pueden tratar datos fuera de tu país. [TODO: hosting region and the transfer mechanism used, for example Standard Contractual Clauses]

Cuánto tiempo conservamos los datos

• Datos de cuenta y espacio de trabajo: mientras exista tu cuenta.
• Eliminación de la cuenta: puedes eliminar tu cuenta desde la app. La eliminación se procesa con rapidez y borra tu cuenta, los espacios de trabajo que te pertenecen, marcas, preguntas, respuestas y eventos de los SDK. Conservamos un registro mínimo de la eliminación (un identificador interno de cuenta, la fecha de creación y la fecha de eliminación, sin tu correo) para que los datos eliminados no vuelvan si alguna vez restauramos una copia de seguridad.
• Eventos de herramientas y sesiones MCP: 90 días; después se eliminan automáticamente.
• Eventos de solicitudes web de los SDK: hasta que se elimina la marca o la cuenta.
• Copias de seguridad: [TODO: backup retention period]
• Registros de auditoría y de alojamiento: ver arriba.
• Registros de facturación: los conserva Lemon Squeezy según exige la normativa fiscal. [TODO: how long we keep billing identifiers after account deletion, if at all]
• Correspondencia por correo: [TODO: retention period]

Tus derechos

Según dónde vivas, puedes tener derecho a acceder a tus datos, rectificarlos, suprimirlos, recibirlos en un formato portable, limitar u oponerte a su tratamiento y retirar tu consentimiento.

• Exportar: usa "Exportar mis datos" en los ajustes de la app para descargar tus datos.
• Eliminar: elimina tu cuenta desde los ajustes de la app.
• Cualquier otra solicitud: escribe a [email protected]. Responderemos en el plazo de un mes. [TODO: confirm response time]

También tienes derecho a presentar una reclamación ante tu autoridad de protección de datos.

Seguridad

Protegemos los datos con cifrado en tránsito (HTTPS), contraseñas y claves de API cifradas con hash, roles de espacio de trabajo que limitan quién ve qué y registros de auditoría. Ningún sistema es totalmente seguro; si una brecha afecta a tus datos personales, te lo notificaremos a ti y a las autoridades según exija la ley.

Menores

Doclight es una herramienta profesional y no está dirigida a menores. [TODO: minimum age, for example 16]

Cambios en esta política

Cuando cambiemos esta política actualizaremos la fecha al principio de esta página. Si un cambio afecta de forma importante a cómo usamos tus datos, te avisaremos por correo o en la app antes de que entre en vigor.

Contacto

Preguntas o solicitudes sobre privacidad: [email protected].

[TODO: legal entity name, registered address and, if required, an EU or UK representative]