Política de privacidad

Responsable del tratamiento

El responsable del tratamiento de tus datos personales es Vericto S.A.S., NIT 902.100.599-0 (en adelante, "Vericto"), con domicilio en Bogotá D.C., Colombia. Para cualquier consulta relacionada con el tratamiento de tus datos, o para ejercer tus derechos de habeas data conforme a la Ley 1581 de 2012, puedes contactarnos en privacy@vericto.com.

Datos recopilados

Vericto recopila cuatro categorías de datos:

1. Datos de cuenta

• Email: para autenticación, notificaciones transaccionales y comunicaciones del servicio.
• Nombre del workspace: identificador del proyecto o entorno.
• Información de facturación: procesada directamente por el procesador de pagos (Paddle). Vericto no recibe ni almacena números de tarjeta; solo conserva el identificador de cliente y suscripción que el procesador nos devuelve, más los metadatos de la factura (importe, moneda, fecha, estado).
• Dirección IP y user agent: registrados en cada sesión para seguridad y rate limiting.

2. Datos de uso del producto

• Connection strings de bases de datos: almacenados cifrados con AES-256-GCM. Solo usados para establecer la conexión proxy.
• Texto de queries SQL interceptadas: almacenado cifrado en el audit trail. Retenido según el plan (7-90 días). Accesible solo por miembros del workspace.
• Metadatos de queries: timestamp, dialecto, decisión (BLOQUEADA/PERMITIDA), regla activada, latencia, nodo AST. No cifrados, usados para métricas del dashboard.
• Configuración de reglas: reglas estándar activas y reglas custom definidas por el usuario.

3. Datos de telemetría

• Uso del sitio web y del dashboard (vericto.com y app.vericto.com): páginas visitadas, tiempo en el sitio y los pasos clave del alta (registro, primera query evaluada, inicio del pago y compra), medidos con Google Analytics 4 solo si aceptas las cookies de analítica en el banner. En el dashboard se asocian a un identificador interno opaco de tu cuenta, nunca a tu email.
• Origen de tu registro: al crear la cuenta guardamos de qué campaña o sitio llegaste: los parámetros utm_* del enlace, el identificador de clic del anuncio si lo hay, el dominio que te refirió y la página de entrada, de la primera y de la última visita de campaña. No incluye datos personales y solo sirve para medir qué canales traen clientes. Se conserva mientras exista la cuenta y se borra con ella.
• Errores y excepciones: registrados en los logs operativos del backend (Amazon CloudWatch), que se conservan 90 días. Los logs no incluyen el texto de tus queries.

4. Firmas del acuerdo de contribución (CLA)

• Solo si contribuyes a un proyecto de Vericto en GitHub: al firmar el Contributor License Agreement se registran tu usuario de GitHub, el nombre y el email que ingresas, la fecha y hora de la firma y la versión firmada.

4. Asistente del sitio y formulario de contacto

• Conversaciones con el asistente de vericto.com: la pregunta que escribes, la respuesta, la página desde la que preguntas y un identificador aleatorio de la sesión (30 minutos). No usamos cookies ni pedimos datos personales para usar el asistente, y te pedimos que no escribas ninguno. No guardamos tu IP: solo un valor derivado de ella con una clave que cambia cada día, que sirve para detectar abuso y no permite recuperarla ni relacionar días distintos.
• Preguntas enviadas al equipo: si eliges que te respondamos por email, tu email y, si los das, tu empresa, tu rol y tu motor de base de datos, junto con tu pregunta y la conversación con el asistente. Solo con tu consentimiento expreso, del que guardamos el texto aceptado, la versión y la fecha.

Uso de los datos

Usamos tus datos exclusivamente para:

• Prestación del servicio: interceptar y analizar queries SQL, mantener el audit trail, enviar notificaciones de bloqueo.
• Seguridad: detectar accesos no autorizados, prevenir abuso, rate limiting.
• Mejora del producto: análisis agregado y anonimizado de patrones de uso para priorizar features. Nunca análisis individualizado sin consentimiento.
• Comunicaciones transaccionales: emails de verificación, recuperación de contraseña, alertas de cuota, facturas. No enviamos emails de marketing sin opt-in explícito.
• Soporte técnico: cuando contactas con soporte, podemos acceder a los metadatos de tu workspace (no al contenido de las queries) para diagnosticar problemas.
• Medición de campañas: saber, en forma agregada, qué canales (LinkedIn, X, newsletters, comunidades) traen registros, cuentas activas y clientes. La cookie de atribución y Google Analytics se basan en tu consentimiento; el origen que viaja en el propio enlace de registro, en nuestro interés legítimo en medir nuestras campañas, informado en esta política que aceptas al registrarte.
• Asistente del sitio: responder tus preguntas con la documentación de Vericto, revisar cada semana las preguntas que no supo responder para mejorar el contenido del sitio, y prevenir abuso. Las respuestas las genera un modelo de IA y pueden contener errores. Si nos envías tu pregunta, la usamos solo para responderte.
• Registro de contribuciones: conservar la prueba de las licencias que otorgan, mediante el CLA, quienes contribuyen a los proyectos de Vericto.

Nunca vendemos tus datos a terceros. Nunca usamos el contenido de tus queries para entrenar modelos de IA.

Retención de datos

Tipo de dato	Plan Free	Plan Builder	Plan Team	Enterprise
Texto de queries y metadatos (audit trail)	7 días	30 días	90 días	Configurable
Datos de cuenta	Hasta cancelación + 30 días
Logs de acceso (IP, user agent)	90 días
Conversaciones con el asistente del sitio	30 días (se eliminan en la limpieza semanal siguiente: como máximo 37 días)
Preguntas enviadas al equipo desde el sitio	12 meses
Datos de facturación	7 años (obligación legal)
Firmas del CLA	Mientras se distribuyan las contribuciones que cubren

Al cancelar tu cuenta, todos tus datos son eliminados permanentemente en un plazo máximo de 30 días, excepto los datos de facturación que debemos retener por obligaciones legales.

Terceros y subprocesadores

Vericto usa los siguientes subprocesadores para prestar el servicio:

• Supabase (PostgreSQL) (Estados Unidos, us-east-1): almacenamiento de datos de cuenta, audit trail y configuración.
• Amazon Web Services (Estados Unidos, us-east-1): hosting del backend y de la API, gestión de secretos y logs operativos. También Amazon Bedrock, que ejecuta el asistente del sitio (modelos de Anthropic y de Cohere servidos por AWS en us-east-1, us-east-2 y us-west-2). Bedrock no comparte las preguntas ni las respuestas con los proveedores de los modelos y no las usa para entrenarlos.
• Paddle.com Market Ltd (Reino Unido): procesamiento de pagos como merchant of record. Recibe tu email, nombre, país y datos de pago para emitir la factura y calcular impuestos. Al actuar como vendedor autorizado, Paddle es responsable del tratamiento de esos datos como responsable independiente, sujeto a su propia política de privacidad. Transferencias fuera del EEE amparadas en las cláusulas contractuales tipo del Reino Unido.
• Upstash (Upstash, Inc., Estados Unidos, región primaria us-east-1): base de datos Redis para la caché de reglas, los límites de uso, el bloqueo de inicios de sesión fallidos y el estado temporal del login. Guarda identificadores y contadores, no el contenido de tus queries.
• GitHub (GitHub, Inc., Estados Unidos): inicio de sesión con GitHub, solo si lo eliges. Recibimos tu email y nombre de usuario de GitHub.
• Resend (Estados Unidos): envío de emails transaccionales (verificación de cuenta, invitaciones, alertas, recuperación de contraseña). Solo recibe el email de destino y el contenido del mensaje.
• Cloudflare: CDN y protección DDoS. Puede procesar IPs de origen. Con Cloudflare Turnstile verifica que quien usa el asistente o el formulario de contacto es una persona; Turnstile no usa cookies. En este sitio, Cloudflare Web Analytics mide visitas de forma agregada (páginas vistas, país, navegador y rendimiento de carga) sin cookies ni identificadores persistentes, y no se usa para seguirte entre sitios.
• Google Analytics 4 (Google LLC, Estados Unidos): medición de uso del sitio web y del dashboard, solo si aceptas las cookies de analítica. Si las aceptaste, nuestro servidor también le envía la primera query evaluada, la compra de un plan (importe, moneda y plan) y su cancelación, con tu identificador seudónimo de Google Analytics. Sin Google Signals ni personalización de anuncios; GA4 no almacena direcciones IP.
• CLA Assistant (servicio de SAP SE, Alemania): solo para quienes contribuyen a un proyecto de Vericto. Registra las firmas del Contributor License Agreement; los datos se almacenan en Microsoft Azure, en Europa, sujetos a la declaración de privacidad de CLA Assistant.

El proxy TCP se ejecuta en tu propia infraestructura y lo operas tú: Vericto no lo aloja ni tiene acceso de red a tus bases de datos.

Todos los subprocesadores están sujetos a acuerdos de procesamiento de datos (DPA) y cumplen con GDPR, excepto CLA Assistant, que opera bajo su propia declaración de privacidad.

Tus derechos bajo GDPR

Si eres residente en el Espacio Económico Europeo, tienes los siguientes derechos:

• Acceso: puedes solicitar una copia de todos los datos personales que tenemos sobre ti.
• Rectificación: puedes corregir datos inexactos directamente en la configuración de tu cuenta o solicitándolo por email.
• Supresión ("derecho al olvido"): puedes solicitar la eliminación de tus datos. Los datos de facturación se retienen por obligación legal durante el plazo indicado en la tabla de retención.
• Portabilidad: puedes exportar tus datos en formato JSON desde el dashboard (audit trail, configuración de reglas).
• Oposición: puedes oponerte al tratamiento de tus datos para análisis de uso. Esto no afecta al funcionamiento del servicio.
• Limitación: puedes solicitar la limitación del tratamiento mientras se resuelve una disputa sobre la exactitud de los datos.

Para ejercer cualquiera de estos derechos, escribe a privacy@vericto.com. Responderemos en un plazo máximo de 30 días.

Si consideras que el tratamiento de tus datos no es conforme, puedes presentar una reclamación ante la Superintendencia de Industria y Comercio (SIC), autoridad de protección de datos de Colombia, en www.sic.gov.co. Si resides en el Espacio Económico Europeo o el Reino Unido, puedes además reclamar ante la autoridad de control de tu país de residencia.

Tus derechos bajo CCPA (residentes de California)

Si eres residente en California, tienes derechos adicionales bajo la California Consumer Privacy Act:

• Derecho a saber: puedes solicitar información sobre las categorías de datos personales que recopilamos y con quién los compartimos.
• Derecho a eliminar: puedes solicitar la eliminación de tus datos personales, con las excepciones legales aplicables.
• Derecho a no discriminación: no discriminamos a usuarios que ejercen sus derechos CCPA.
• Derecho a opt-out de venta: Vericto no vende datos personales. No aplica el mecanismo de opt-out de venta.

Cookies

Vericto usa las siguientes cookies:

• Cookies de sesión (esenciales): JWT de autenticación en httpOnly cookie. Necesaria para el funcionamiento del servicio. No puede desactivarse.
• Cookie de preferencia de idioma (funcional): vericto-locale, con una duración de 1 año. En el sitio público solo se crea si cambias el idioma con el selector; nunca se deduce de tu ubicación ni de la configuración de tu navegador. La lee nuestro servidor para abrir la página en el idioma que elegiste. No es de seguimiento y no se comparte con terceros. Puedes borrarla desde tu navegador y el sitio seguirá funcionando en inglés.
• Preferencias guardadas en tu navegador (no son cookies): en el dashboard se guardan en localStorage el tema (vericto-theme), el idioma (vericto-locale), la zona horaria (vericto-timezone) y el formato de hora (vericto-time-format). Si tienes sesión iniciada, estas preferencias también se asocian a tu cuenta para que te sigan entre dispositivos.
• Cookies de analítica (Google Analytics 4): _ga y _ga_*, 2 años. Solo se instalan si las aceptas en el banner de consentimiento; puedes retirar el consentimiento cuando quieras desde «Preferencias de cookies», en el pie de cada página. Detalle en la política de cookies.
• Cookie de atribución de campañas (analítica, propia): vericto_attr, 90 días. Recuerda la primera y la última campaña que te trajo para asociarla a tu cuenta si te registras. Solo se instala si aceptas la analítica, no contiene datos personales y ningún tercero la lee. La cookie vericto_consent (necesaria, 6 meses) guarda tu elección para vericto.com y app.vericto.com.

No usamos cookies de publicidad ni de seguimiento cross-site.

Contacto con el DPO

Para cualquier consulta sobre privacidad, ejercicio de derechos, o incidentes de seguridad relacionados con datos personales, contacta con nuestro Delegado de Protección de Datos:

• Email: privacy@vericto.com
• Tiempo de respuesta: máximo 30 días calendario
• Idiomas: español, inglés

Para incidentes de seguridad que puedan afectar a datos personales, escribe a security@vericto.com. Respondemos en menos de 48 horas.