OLAB Assist Iniciar sesión
Información legal

Seguridad

Última actualización: Octubre de 2026

OLAB Assist está diseñado para tratar la menor cantidad posible de datos personales y proteger los que trata. Esta página explica nuestras prácticas de seguridad. Para saber qué datos recopilamos y por qué, consulta la Política de privacidad.

1. Infraestructura

  • La aplicación, su base de datos (Cloudflare D1) y su almacenamiento de archivos (Cloudflare R2) se alojan en Cloudflare.
  • Los datos se cifran con TLS durante la transmisión y con AES-256 cuando están almacenados.
  • El sitio y la API se sirven exclusivamente por HTTPS, con HTTP Strict Transport Security (HSTS).
  • Cloudflare dispone de informes SOC 2 Type II y de la certificación ISO/IEC 27001 para su plataforma.

2. Inicio de sesión y acceso del equipo

  • Google Firebase Authentication gestiona el inicio de sesión mediante Google, Apple o correo electrónico, con contraseña o enlace de acceso. Nunca vemos ni almacenamos contraseñas.
  • Para eliminar la cuenta, debes haber iniciado sesión recientemente y confirmar la eliminación mediante el mensaje enviado al correo de la cuenta.
  • Cada equipo tiene un titular y miembros. Solo el titular puede quitar sitios o mercados, invitar a personas, conectar integraciones, gestionar la facturación o eliminar la cuenta.

3. Servicios conectados y API

  • Las conexiones con Google Analytics y Google Search Console tienen acceso de solo lectura. El token de conexión de larga duración se almacena cifrado con AES-GCM mediante una clave guardada como secreto del servidor. Los tokens de acceso de corta duración nunca se almacenan. Desconectar el servicio, quitar el sitio asociado o eliminar la cuenta revoca nuestro acceso en Google.
  • Los tokens de conexión de Notion se cifran y almacenan del mismo modo.
  • Las claves de API se muestran una sola vez, al crearlas. Solo almacenamos sus hashes SHA-256.
  • Los webhooks se firman con HMAC-SHA256 para que tus sistemas puedan verificar que las solicitudes proceden de nosotros.

4. Pagos

Paddle procesa los pagos como vendedor legal (merchant of record). Introduces los datos de tu tarjeta directamente en Paddle. Nunca vemos ni almacenamos los números de tarjeta.

5. Proveedores de IA

  • Para seguir las respuestas de IA, enviamos el texto de tus preguntas a los servicios de IA indicados en la Política de privacidad. No incluimos tu nombre, correo electrónico ni datos de tu cuenta en estas solicitudes.
  • Accedemos a estos servicios a través de sus API. El almacenamiento de respuestas está desactivado en nuestras solicitudes a OpenAI.
  • Los datos de marca que añadas solo se comparten con el servicio que contrasta las respuestas de IA con esos datos, tal como se explica en la Política de privacidad.

6. Conservación y eliminación de datos

  • Cuando eliminas tu cuenta en Ajustes, tus sitios, preguntas, competidores, respuestas de IA e historial se eliminan de inmediato.
  • Las respuestas de IA de más de 90 días se trasladan a un archivo cifrado. Se eliminan cuando se borra la pregunta, el sitio o la cuenta asociados.
  • Conservamos recuentos anónimos de la frecuencia con la que los asistentes de IA citan sitios web públicos. No contienen preguntas, respuestas, nombres de marca ni datos de cuenta. Consulta la Política de privacidad para conocer todos los plazos de conservación.

7. Nuestro rastreador web

Nuestro rastreador, OLABAssistBot, audita tu sitio. Solo lee páginas públicas, respeta robots.txt y nunca inicia sesión en un sitio. En las auditorías gratuitas, solo almacenamos un hash con sal de la dirección IP del visitante para limitar los abusos.

8. Limitaciones actuales

Aún no disponemos de un informe SOC 2 ni de una certificación ISO/IEC 27001 propios, y no ofrecemos inicio de sesión único mediante SAML. Contacta con nosotros si tu organización necesita un acuerdo de tratamiento de datos o que completemos un cuestionario de seguridad.

9. Notificar un problema de seguridad

Si crees que has encontrado una vulnerabilidad, escribe a [email protected] con “Security” en el asunto y detalles suficientes para que podamos reproducirla. Danos un plazo razonable para corregirla antes de hacerla pública. No emprendemos acciones legales contra investigaciones de seguridad de buena fe que respeten los datos de nuestros usuarios.