Aviso de privacidad de SearchedBy

Versión 0.10 · 31-oct-2026 · en revisión legal

1. Responsable

Pablo Pavon (SearchedBy), Zähringerstraße 24, 10707 Berlin, Alemania · [email protected].

No hay delegado de protección de datos: la ley alemana lo exige a partir de 20 personas que traten datos de forma habitual (§ 38 BDSG).

2. Qué datos tratamos y de dónde salen

Al visitar el sitio: cada pedido pasa por Cloudflare, que conecta nuestro servidor con internet y procesa la dirección IP, la hora, la dirección pedida y datos del navegador. Nuestro servidor guarda registros técnicos de los pedidos para operar y proteger el servicio.
Paso 1 del análisis: el sitio web y el email.
Paso 3 del análisis: marca, mercado, qué se vende, ciudad y competidores (ciudad y competidores son opcionales) y, cuando se pide, un código de invitación.
Para la verificación: el código de 6 dígitos (solo guardamos su huella criptográfica), cuándo se envió y cuántos intentos hubo.
Para frenar abusos: una huella con clave secreta de la dirección IP, o de su bloque IPv6 /64, y del email, para contar pedidos por red, por casilla y por dominio de email. Nuestra base de datos guarda la huella, no la dirección IP.
Verificación anti-bot de Cloudflare (Turnstile): se carga recién cuando se empieza a usar el formulario del análisis, no al abrir una página. Cloudflare procesa señales del navegador, como la dirección IP, la huella TLS y el User-Agent.
Del sitio analizado: unas pocas páginas públicas, que pueden contener datos de terceros. Solo guardamos lo que el informe necesita. Los enlaces a perfiles en redes sociales que aparecen en esas páginas se listan en el informe; no visitamos las redes.
Las respuestas de los motores de IA: pueden nombrar empresas y, a veces, personas, por ejemplo un profesional que trabaja con su nombre. Las guardamos como parte del informe.
Pedido del diagnóstico de 48 horas (opcional): mercados, objetivo, quién mantiene el sitio, plataforma, competidores, enlaces a reseñas y a perfiles en redes, qué herramientas se usan, cambios previstos, presupuesto y si se quiere una llamada, junto con una huella con clave de la dirección IP.
Formulario de opinión bajo el informe (opcional): una puntuación, un nombre si se da y texto libre.
Emails a nuestra dirección: la dirección de quien escribe y lo que contiene el mensaje.

El email se guarda cifrado: cada registro lleva su propio valor al azar y un control de integridad, y la clave queda en el servidor. Una copia de la base de datos no se puede leer sin ella.

3. Para qué y con qué base legal

Enviar el código, hacer el análisis, mostrar el informe y enviar su enlace: ejecución del servicio pedido (art. 6.1.b RGPD).
Huellas, límites, Turnstile y registros técnicos del servidor: interés legítimo en proteger el servicio y su costo frente a abusos (art. 6.1.f RGPD). Turnstile, además, por ser necesario para el servicio pedido (§ 25.2.2 TDDDG).
Revisión de calidad: el operador recibe un mensaje interno de control por cada análisis, con el resultado y el email de quien lo pidió, para revisar el resultado y, si hace falta, escribirle sobre ese análisis. Base: interés legítimo (art. 6.1.f RGPD).
Pedido del diagnóstico de 48 horas: medidas precontractuales a pedido de quien lo solicita (art. 6.1.b RGPD).
Opiniones: interés legítimo en mejorar el servicio con lo que dicen quienes lo usan (art. 6.1.f RGPD).
Personas nombradas en las respuestas de IA: interés legítimo en mostrar qué dicen los motores sobre un mercado (art. 6.1.f RGPD).
Comunicaciones comerciales: solo con consentimiento, que se puede retirar en cualquier momento (art. 6.1.a RGPD y § 7.2 UWG); ver el punto 8.

4. Quién recibe datos

Usamos estos proveedores, que actúan como encargados del tratamiento (art. 28 RGPD) salvo que se indique otra cosa:

Hetzner Online GmbH, Alemania: el servidor, en un centro de datos en Alemania.
Cloudflare, Inc., EE. UU.: la conexión entre internet y nuestro servidor, el servicio de nombres del dominio, el control antibots (Turnstile) y el reenvío de los emails que llegan a nuestra dirección. Para mejorar Turnstile, Cloudflare actúa como responsable propio.
Envío de emails (el código, el enlace del informe y las respuestas): Zoho Corporation B.V., Países Bajos, que guarda los datos en la UE; su equipo de soporte en India puede acceder a ellos bajo cláusulas contractuales tipo. El envío pasa a Brevo (Sendinblue SAS, Francia); desde entonces, Sendinblue SAS recibe los mismos datos para el mismo fin.
Google: los emails que llegan a nuestra dirección se reenvían al buzón del operador en Google (Gmail).
Fontshare (Indian Type Foundry): al abrir las páginas en inglés, español o alemán, el navegador le pide las tipografías y así le llega la dirección IP. Las páginas en hebreo no cargan estas tipografías.
Google (Chrome UX Report), solo cuando se consultan datos de velocidad de usuarios reales: recibe la dirección del sitio, nunca el email.
Para la muestra de IA, las preguntas, que llevan el sitio, la marca, el mercado, qué se vende, la ciudad y los competidores, van a: Anthropic Ireland, Limited (Claude, con búsqueda web; el procesamiento es en EE. UU., donde también están sus proveedores de búsqueda, entre ellos Brave); OpenAI (ChatGPT; EE. UU.); Perplexity AI, Inc. (EE. UU.); y, cuando se miden las respuestas de IA de Google, DataForSEO OÜ (Estonia). Nunca reciben el email.

5. Transferencias fuera del Espacio Económico Europeo

Varios proveedores están en EE. UU. (el procesamiento y los proveedores de búsqueda de Anthropic, OpenAI, Perplexity y Cloudflare) o acceden a los datos desde fuera del EEE (el soporte de Zoho en India). La transferencia se basa en las cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914); en el caso de Cloudflare, que está certificada, también en el Data Privacy Framework UE-EE. UU. Se puede pedir una copia de las garantías en [email protected].

6. Cuánto tiempo guardamos los datos

Huella del código de verificación: se borra al verificar el email o, si nadie lo usa, a más tardar un día después de que vence (vence a los 15 minutos).
Contadores contra abusos: las huellas de IP y de email que tienen se borran a los 30 días. Las del registro de cada análisis se guardan mientras exista el análisis.
Informe, datos de entrada, email, respuestas de IA, pedidos de diagnóstico y opiniones: se guardan para dar el servicio y hacer su seguimiento. Todavía no hay borrado automático: hasta que lo haya, los borramos en cualquier momento a pedido, y vamos a indicar el plazo acá.
Prueba de los consentimientos y lista de bajas: solo una huella del email, que se guarda mientras debamos poder probar un consentimiento o respetar una baja.
En los proveedores: cada uno guarda los pedidos según sus propias condiciones. Según las que publican, Anthropic y OpenAI, hasta 30 días (más si un pedido queda marcado por abuso), y DataForSEO, hasta 12 meses.

7. Derechos

Se pueden pedir, en [email protected]:

acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición (arts. 15 a 18, 20 y 21 RGPD);
el retiro del consentimiento, en cualquier momento y sin efecto sobre lo hecho antes.

También se puede reclamar ante una autoridad de protección de datos. La nuestra es la Berliner Beauftragte für Datenschutz und Informationsfreiheit (autoridad de protección de datos de Berlín); también vale la del lugar de residencia.

Quien aparezca nombrado en un informe puede pedirnos que corrijamos o quitemos la mención: cómo leemos los sitios.

8. Comunicaciones comerciales

Por ahora no enviamos comunicaciones comerciales. Si las ofrecemos, las vamos a pedir aparte, después de verificar el email, con dos opciones independientes (Sí / No) y sin respuesta marcada de antemano; el análisis se recibe igual sin aceptar, y cada email comercial va a traer un enlace de baja de un clic.

Es posible oponerse en cualquier momento al uso de los datos con fines publicitarios.

9. ¿Es obligatorio dar el email?

No lo exige la ley, pero sin email no podemos enviar el código ni el enlace del informe, así que no hay análisis.

10. Decisiones automatizadas

No tomamos decisiones automatizadas con efectos jurídicos sobre las personas (art. 22 RGPD). Los límites contra abusos solo frenan pedidos repetidos.

11. Navegador, cookies y píxeles

No ponemos cookies propias ni usamos cookies de publicidad o de analítica, y los emails no llevan píxeles de seguimiento. Turnstile se carga recién cuando se empieza a usar el formulario del análisis.

12. El enlace del informe

El informe está en un enlace no listado: cualquier persona que lo tenga puede abrirlo. Las páginas de informe no las indexan los buscadores y no pasan su dirección a otros sitios.

13. Cambios y versión

Versión 0.10 del 31 de octubre de 2026. Actualizamos este aviso cuando cambian el servicio o sus proveedores; las versiones anteriores quedan archivadas.