Legal

Acuerdo de Tratamiento de Datos

Este es el Acuerdo de Tratamiento de Datos de CitePatch. Forma parte de los Términos del Servicio y se aplica automáticamente a todas las cuentas, sin firma aparte, siempre que CitePatch S.L. trate datos personales por cuenta tuya como encargado del tratamiento conforme al RGPD. Esta versión entró en vigor el 17 de octubre de 2026. Sustituye a la del 8 de septiembre de 2026 y corrige lo que aquella decía sobre alojamiento, medidas de seguridad y encargados, para que coincida con la infraestructura que realmente usamos. Todavía no lo ha revisado asesoría jurídica externa, pero nos vincula tal como está escrito — y allí donde nos compromete a algo, ese algo ya está funcionando, no planificado.

Descargar PDF

Roles, y qué cubre este acuerdo

Este acuerdo se aplica siempre que CitePatch S.L. trata datos personales por cuenta tuya. Sobre esos datos tú eres el responsable del tratamiento y CitePatch es el encargado.

El contenido de cliente — tus páginas, tus hechos de marca, los prompts que monitorizas, los ajustes que redactamos y lo que devuelve una integración conectada — se trata siguiendo tus instrucciones. Eso es lo que regula este acuerdo.
Los datos de cuenta y facturación — quiénes son tus miembros, qué plan tienes, tus facturas — los trata CitePatch como responsable por derecho propio. Eso lo regula el Aviso de Privacidad, no este acuerdo.
Cuando los Términos del Servicio y este acuerdo entren en conflicto sobre el tratamiento de datos personales, manda este acuerdo.
No hace falta firma aparte: este acuerdo forma parte de tu contrato desde el momento en que usas el producto. Si tu proceso de compras necesita una copia firmada por ambas partes, escribe a [email protected] y la firmamos.

Objeto, naturaleza, finalidad y duración

El tratamiento existe para prestar el servicio descrito en los Términos del Servicio, y para nada más.

Objeto: medir cómo responden los asistentes de IA a preguntas sobre tu marca, comparar esas respuestas con tu propio sitio y con los hechos de marca que has aprobado, redactar ajustes y publicar los que apruebas.
Naturaleza del tratamiento: recogida mediante rastreo y API, almacenamiento, análisis estructurado, transmisión a los proveedores de modelos y de búsqueda listados en la sección de Encargados más abajo, y transmisión a una integración que hayas conectado cuando apruebas un ajuste.
Finalidad: prestarte el servicio. CitePatch no trata contenido de cliente para fines propios, y ni nosotros ni nuestros proveedores entrenamos modelos con él.
Duración: mientras tu cuenta esté activa, más los plazos de conservación indicados en el Aviso de Privacidad — o hasta que elimines la organización, lo que ocurra antes.

Categorías de interesados y de datos personales

La mayor parte de lo que maneja CitePatch no son datos personales. Lo que sí lo es, llega con estas formas:

Interesados: los miembros de tu organización; personas nombradas o citadas en las páginas que rastreamos para ti; personas nombradas en las respuestas de IA que registramos; y, si conectas Google Analytics 4 o Search Console, la audiencia agregada de la propiedad que conectas.
Datos personales: nombres, direcciones de email profesional, roles y permisos dentro de tu organización; la identidad que una integración conectada nos expone; datos personales presentes de forma incidental en el contenido de tu sitio o en una respuesta de IA registrada; y la correspondencia de soporte.
Las categorías especiales de datos no son necesarias para el servicio ni se desean. La Política de Uso Aceptable te indica que no envíes datos de salud, biométricos, religiosos, políticos, de afiliación sindical ni de orientación sexual, y CitePatch no los trata a sabiendas.
No se tratan datos relativos a infracciones penales.

Tus instrucciones, y sus límites

CitePatch trata los datos personales de cliente únicamente siguiendo tus instrucciones documentadas.

Tus instrucciones son este acuerdo, los Términos del Servicio y lo que configuras en el producto: los dominios que conectas, los prompts que monitorizas, los ajustes que apruebas.
Te lo diremos si, en nuestra opinión, una instrucción infringe el RGPD u otra norma de protección de datos de la UE o de un Estado miembro, y podemos pausar ese tratamiento concreto hasta que se resuelva.
Si una norma de la UE o de un Estado miembro nos obliga a tratar datos más allá de tus instrucciones, te lo comunicaremos antes de hacerlo, salvo que esa misma norma lo prohíba.

Confidencialidad, y quién puede acceder a tus datos

El acceso se limita a las personas que lo necesitan para operar el servicio, y está sujeto a obligación.

Todas las personas con acceso a datos personales de cliente están sujetas a una obligación de confidencialidad por escrito que sobrevive al fin de su relación con nosotros.
El acceso a producción está restringido a personal nominado, cada uno con sus propias claves y cuentas; las credenciales nunca se comparten.
Dentro del producto, el acceso a tus datos está acotado a tu organización y se comprueba en cada petición, no solo oculto en la interfaz.
Las acciones a nivel de cuenta — facturación, miembros, exportación, eliminación — están restringidas a los propietarios.

Medidas de seguridad

Estas son las medidas desplegadas hoy — las mismas que la página de Seguridad describe en lenguaje llano. Son nuestro compromiso del artículo 32, y crecerán con el producto en lugar de prometerse por delante de él.

Los datos de cliente se almacenan en la UE: los servidores de la aplicación y la base de datos se ejecutan en DigitalOcean en Ámsterdam (Países Bajos), y el almacenamiento de objetos que guarda exports y evidencias, en Google Cloud, en europe-west1 (Bélgica).
Cifrado en tránsito (TLS) entre tu navegador y CitePatch y entre la aplicación y su base de datos. El almacenamiento de objetos, los secretos y los logs se cifran en reposo en Google Cloud, y las credenciales de las integraciones que conectas las cifra la aplicación (AES-GCM) antes de guardarlas.
Los secretos de la plataforma y las claves de API viven en Google Secret Manager, nunca en el código ni en un fichero de entorno versionado; los paquetes de exportación nunca contienen credenciales de integraciones.
El acceso es por enlace enviado al email o por Google OAuth, así que no hay contraseña que reutilizar o filtrar; las cookies de sesión son HttpOnly y Secure, y las peticiones que modifican datos rechazan llamadas de origen cruzado.
Logs de aplicación y de infraestructura, conservados para seguridad e investigación de incidentes.
Exportación y eliminación self-service, para que recuperar o borrar tus datos no dependa nunca de nuestra buena voluntad ni de nuestra disponibilidad.
CitePatch no tiene certificación ISO 27001 ni SOC 2. Preferimos nombrar los controles que realmente aplicamos antes que señalar una auditoría que no hemos pasado.

Encargados

Nos concedes una autorización general para recurrir a los siguientes encargados. La lista se mantiene a mano y al día.

Infraestructura — DigitalOcean (DigitalOcean, LLC), región de Ámsterdam: los servidores que ejecutan la aplicación, la base de datos, la caché y nuestro propio servicio de captura de respuestas. Google Cloud Platform (Google Ireland Ltd.): almacenamiento de objetos para exports y evidencias y tareas en segundo plano, en europe-west1 (Bélgica); cola de mensajes, secretos, logs y telemetría. Cloudflare: DNS de citepatch.com y entrega del sitio público de marketing; no transporta el tráfico de la aplicación. Google Analytics y Google Tag Manager (Google Ireland Ltd.): medición de audiencia en el sitio público de marketing y dentro del producto; hasta que aceptas las cookies, Analytics funciona en el modo de consentimiento denegado de Google y no guarda nada en tu navegador. Contentsquare (antes Hotjar): grabación de sesión y analítica de uso dentro de la aplicación, solo tras el consentimiento. Los campos de formulario se ocultan; los tokens de invitación nunca se envían como rutas.
Pagos y email — Stripe: suscripciones, checkout, facturas y portal de facturación. Resend: email transaccional, incluidos enlaces de acceso, invitaciones y avisos de cuenta. MailerLite: la newsletter del producto, solo para quien se suscribe a ella.
Proveedores de modelos y búsqueda — OpenAI, Anthropic, Perplexity y Google (Gemini, vía Google Ireland Ltd.) para medición de respuestas, junto con DataForSEO y SearchAPI.io, que capturan las respuestas que dan los asistentes de IA y los buscadores en cada mercado; TypeSafe para la clasificación del tipo de respuesta en la medición; OpenAI, Anthropic, Google, DeepInfra, Groq y DigitalOcean (inferencia serverless) para análisis, redacción de contenido, extracción y la asistente Vera; SerpAPI, DataForSEO, Brave Search y Open PageRank para datos de buscadores, palabras clave y autoridad de dominio usados como evidencia. Estos reciben los prompts y las respuestas que se miden y el contenido que se redacta, no los datos de tu cuenta, y CitePatch no permite entrenar con contenido de clientes.
Antes de añadir o sustituir un encargado que trate datos personales de cliente, avisaremos a los propietarios de cuenta por email con al menos 30 días de antelación.
Puedes oponerte dentro de esos 30 días por motivos razonables de protección de datos. Intentaremos resolverlo; si no podemos, puedes terminar la parte del servicio afectada, o el servicio entero, sin penalización, con reembolso proporcional de lo prepagado por el periodo restante.
Cada encargado queda sujeto a obligaciones de protección de datos no menos protectoras que las de este acuerdo, y CitePatch sigue siendo plenamente responsable ante ti de su cumplimiento.
Las integraciones que tú conectas — GitHub, GitLab, Bitbucket, WordPress, Webflow, Shopify, Contentful, Wix, Google Drive, Google Search Console, Google Analytics 4, Cloudflare, Linear — no son encargados: actúan por tu instrucción, con credenciales que tú aportas y puedes revocar.

Transferencias internacionales

La base de datos y tus ficheros se quedan en la UE. Algunos de los proveedores de modelos y de búsqueda a los que enviamos prompts y contenido redactado están en Estados Unidos, y nuestros proveedores de infraestructura, DigitalOcean y Google, tienen allí su matriz.

Para esas transferencias nos apoyamos en las garantías que ofrece cada proveedor — el Marco de Privacidad de Datos UE-EE. UU. o las cláusulas contractuales tipo, según corresponda — junto con sus propias condiciones de tratamiento de datos.
No hemos completado una evaluación documentada de transferencia para cada proveedor, y no vamos a afirmar que sí antes de hacerlo. Escribe a [email protected] para conocer el estado actual de un proveedor concreto, y dinos si alguno te resulta inaceptable: te responderemos con honestidad si el producto puede funcionar sin él.
Si se invalida un mecanismo de transferencia en el que nos apoyamos, te lo comunicaremos y, o bien pondremos una alternativa, o bien dejaremos de enviar datos personales de cliente a ese proveedor.
Para medir qué responden los asistentes de IA en un mercado concreto, algunas consultas de medición salen por un punto de salida de red en ese mercado — por ejemplo Brasil, México o Estados Unidos. Ese tráfico va cifrado de extremo a extremo, solo lleva el prompt que se mide y la respuesta del asistente, y no se guarda nada en el punto de salida.

Ayudarte a responder a los interesados

Las solicitudes normalmente te llegan a ti, no a nosotros, porque el responsable eres tú.

Los propietarios tienen exportación self-service de todo lo que guardamos de la organización, y eliminación self-service: suele ser la vía más rápida para atender una solicitud de acceso o de supresión.
Más allá de eso, te asistiremos con medidas técnicas y organizativas apropiadas, teniendo en cuenta la naturaleza del tratamiento y lo que esté a nuestro alcance.
Si un interesado contacta directamente con CitePatch sobre datos que guardamos por cuenta tuya, no responderemos al fondo: trasladaremos la solicitud al propietario de la cuenta y le diremos a esa persona que lo hemos hecho.
Con el mismo criterio te asistiremos en las evaluaciones de impacto y en cualquier consulta previa a una autoridad de control.

Brechas de datos personales

Si sufrimos una brecha que afecte a datos personales de cliente, lo sabrás por nosotros, pronto y en lenguaje claro.

Avisaremos a los propietarios de cuenta afectados sin dilación indebida y, en todo caso, dentro de las 72 horas siguientes a tener conocimiento de ella.
El aviso dirá qué ha pasado, qué categorías de datos y aproximadamente cuántos registros están afectados, qué hemos hecho y qué te sugerimos hacer — y dirá con claridad lo que todavía no sabemos, en vez de esperar a saberlo.
Te asistiremos con tus propios deberes de notificación ante las autoridades de control y ante los interesados, y no te pediremos que esperes a nuestra investigación para cumplir un plazo tuyo.
Los eventos de seguridad que no afectan a datos personales, como un intento de intrusión fallido o una caída del servicio, quedan fuera del alcance de esta cláusula.

Auditoría, y qué podemos enseñarte de verdad

Somos una empresa pequeña y no tenemos una certificación que entregarte, así que esta sección dice cómo es una auditoría real de nosotros en lugar de insinuar una que no podríamos sostener.

Ponemos a tu disposición la información necesaria para demostrar el cumplimiento del artículo 28: este acuerdo, la página de Seguridad, la lista actual de encargados, y las respuestas a tu cuestionario de seguridad firmadas por una persona con nombre, no por un formulario.
Si eso no basta, puedes auditarnos una vez cada doce meses, con 30 días de preaviso por escrito, en horario laboral, bajo confidencialidad y a tu costa — tú mismo o mediante un auditor independiente que no sea competidor nuestro.
Una auditoría no puede alterar el servicio para otros clientes y no alcanza a los datos de otro cliente ni a la infraestructura propia de nuestros proveedores: de esa trasladamos la documentación que ellos nos dan.

Devolución y supresión, y cambios en este acuerdo

Sacar tus datos, o hacer que desaparezcan, es un botón dentro del producto y no un ticket de soporte.

Un propietario puede pedir una exportación completa en cualquier momento, en un solo archivo, descargable mediante un enlace que caduca.
Un propietario puede eliminar la organización por completo. La eliminación corre como un job que borra todos los proyectos, mediciones, ajustes y credenciales almacenadas que guardamos de ella, y el producto te muestra cuándo ha terminado.
Eliminar la organización es tu instrucción de supresión; no imponemos ningún periodo de espera encima. Conservamos solo lo que exige una obligación contable o legal — facturas, sobre todo — y no guardamos ninguna copia de seguridad de ellos.
Podemos actualizar este acuerdo. Si un cambio redujera tus protecciones, avisaremos a los propietarios de cuenta antes de que entre en vigor, y la fecha en que esta versión entró en vigor se indica al principio de esta página.