Seguridad y Privacidad

Esta página es el resumen en lenguaje sencillo de cómo Zenovay maneja sus datos. Está pensada para ser honesta antes que tranquilizadora: enumeramos lo que hacemos, lo que no hacemos y lo que aún no tenemos derecho a afirmar.

Si algo en esta página contradice nuestra Política de Privacidad, el DPA o la lista de subprocesadores, prevalece el documento jurídicamente vinculante. Tratamos cualquier divergencia entre esta página y esos documentos como un error - por favor, repórtenoslo.

Dónde residen sus datos

Desde el 28 de octubre de 2026, la base de datos principal de Zenovay, que contiene los datos de cuenta y los datos de autenticación, está alojada en Oracle Cloud Infrastructure en Suiza, en la región eu-zurich-1 (Zúrich), donde operamos nosotros mismos el software de código abierto de Supabase (PostgreSQL, autenticación); sus copias de seguridad se almacenan en la misma región, y desde el 31 de octubre de 2026 también se almacena en Backblaze, en la Unión Europea (eu-central, Ámsterdam, Países Bajos), una copia cifrada de las copias de seguridad nocturnas de la base de datos principal y de la base de datos de analítica. La analítica de visitantes se encuentra desde el 23 de octubre de 2026 en una base de datos de analítica separada en la misma región de Oracle. Desde el 29 de octubre de 2026, los archivos (imágenes y archivos adjuntos subidos, repeticiones de sesión y capturas de mapas de calor) se almacenan en Backblaze B2 en la Unión Europea (eu-central, Ámsterdam, Países Bajos). Suiza no forma parte de la Unión Europea; la Comisión Europea reconoce que ofrece un nivel adecuado de protección de datos. La copia de respaldo de solo lectura de la antigua base de datos principal que se conservaba en Supabase, Inc., en la Unión Europea (Fráncfort), durante la migración ha sido eliminada. Cloudflare Workers se ejecuta en la ubicación de borde más cercana al visitante, y Cloudflare KV y los Durable Objects funcionan en la red global de Cloudflare, por lo que los datos gestionados por esos servicios no están confinados a Suiza ni a la UE. La configuración de residencia de datos podrá cambiar a medida que cambie nuestra infraestructura; actualizaremos esta divulgación cuando se produzcan cambios sustanciales.

La mayoría de los subencargados enumerados en la página de Subprocesadores están establecidos en los Estados Unidos, entre ellos Cloudflare, Stripe, Resend y OpenAI, al igual que los proveedores opcionales de inicio de sesión OAuth. La monitorización de errores de nuestra aplicación se envía a la región de la Unión Europea de Sentry. Las transferencias a los Estados Unidos se basan en el Marco de Privacidad de Datos UE-EE. UU. cuando el destinatario está certificado en él y, en caso contrario, en las Cláusulas Contractuales Tipo de 2021 de la Comisión Europea, junto con medidas técnicas como el cifrado en tránsito y la minimización de datos. El mecanismo de transferencia en el que nos basamos para cada proveedor figura en la página de Subprocesadores. Ver la lista completa de subprocesadores.

Qué recopilamos (y qué no)

Cuando añade un sitio web a Zenovay, el Modo sin cookies es la opción que ya viene seleccionada, de modo que un sitio nuevo empieza sin cookies salvo que en ese momento elija el modo basado en cookies. Los sitios web creados antes de que esto pasara a ser el valor predeterminado conservan el modo que tuvieran, y usted puede consultar o cambiar el ajuste por sitio web en cualquier momento. En el Modo sin cookies, el rastreador no escribe cookies ni entradas de localStorage en el dispositivo del visitante. En su lugar, Zenovay deriva los identificadores de visitante y de sesión en el servidor a partir de un hash SHA-256 de la subred IP del visitante (los tres primeros bloques de una dirección IPv4, los tres primeros grupos de una dirección IPv6), la cadena de agente de usuario del navegador, el identificador del sitio y una sal que cambia cada día. Como la sal cambia a diario, el identificador no se mantiene entre días UTC, y la propia dirección no se almacena junto a él.

Si el operador de un sitio elige el modo basado en cookies, el rastreador establece cookies de origen propio (zenovay_visitor_id, 30 días de forma predeterminada, y zenovay_session_id, 30 minutos tras la última actividad) y escribe un pequeño número de entradas de localStorage; la Política de cookies las enumera todas. Cambiar un sitio de sin cookies a cookies más adelante solo construye identidad entre días a partir de ese momento, no reconstruye el pasado. El rastreador de Zenovay nunca recopila por sí mismo nombres, direcciones de correo electrónico, datos de pago ni coordenadas GPS precisas. Un operador del sitio puede enviarnos identificadores como nombre, correo electrónico o empresa mediante la función opcional identify; cuando lo hace, es el responsable del tratamiento de esos datos y de su base jurídica. No vendemos información personal ni la compartimos para publicidad conductual entre contextos. Respetamos la señal Global Privacy Control (GPC): cuando un navegador la envía, nuestro rastreador se detiene antes de recopilar o enviar nada.

Para los detalles jurídicos de cada categoría, finalidad y base legal, consulte la Política de Privacidad.

Cuánto tiempo los conservamos

Los eventos analíticos en bruto se purgan tras el período de conservación definido por el plan del cliente:

• Free: 1 año (365 días)
• Pro: 2 años (730 días)
• Scale: 4 años (1.460 días)
• Enterprise: configurable, se fija en el formulario de pedido

Las grabaciones de sesión y los datos de mapas de calor son funciones premium con su propia retención, mucho más corta: 60 días en Pro, 120 días en Scale y 180 días en Enterprise. Se eliminan según ese calendario, con independencia del periodo de retención analítica indicado arriba.

Los registros de auditoría de la cuenta (acciones de usuario, eventos de facturación, cambios de configuración) se conservan durante 24 meses y se purgan automáticamente cada día a partir de las 03:00 UTC. No contienen ninguna dirección IP en texto plano, solo un hash SHA-256 unidireccional. Por separado, nuestra consola interna de operaciones mantiene su propio registro de lo que hizo un administrador de Zenovay, y ese registro sí recoge la dirección IP del propio administrador por motivos de rendición de cuentas en materia de seguridad.

Cómo los protegemos

• Todos los endpoints de Zenovay se sirven a través de HTTPS, con terminación TLS en el borde de Cloudflare. El tráfico entre nuestros Workers y la base de datos está cifrado en tránsito.
• Los datos en reposo están cifrados por los proveedores que los almacenan: Oracle Cloud Infrastructure para la base de datos principal, la base de datos de analítica y sus copias de seguridad (con claves gestionadas por Oracle), y Backblaze para el almacenamiento de archivos (con claves gestionadas por Backblaze). El cifrado en reposo y la gestión de claves que lo sustenta los operan esos proveedores y no Zenovay, al amparo de sus propias certificaciones publicadas, con una excepción: la copia adicional de las copias de seguridad nocturnas de las bases de datos almacenada en Backblaze la cifra Zenovay antes de subirla, con una clave que Zenovay conserva sin conexión y que Backblaze no posee.
• En las tablas de analítica, una dirección IP se almacena únicamente como un hash SHA-256 unidireccional, nunca en texto plano: el campo de texto plano del registro del visitante se escribe vacío, la columna de texto plano se eliminó del registro de auditoría de la cuenta el 26 de abril de 2026, y el registro de auditoría de equipo la convierte en hash y la borra al insertarla. Esa no es toda la historia, así que aquí va el resto. Para hacer su trabajo, el servicio tiene que ver primero la propia dirección: se utiliza para consultar una ubicación aproximada, aplicar límites de velocidad y detectar y bloquear abusos. En esas rutas la dirección se conserva durante un período breve y acotado, por ejemplo una caché de geolocalización que expira a las 24 horas, y los registros de prevención de abusos y de bloqueo de IP. También se envía a nuestros proveedores de geolocalización, que es como se resuelven el país y la ciudad que aparecen en su panel.
• Row Level Security está habilitado en todas las tablas de la base de datos de producción. Nuestra API se autentica ante la base de datos con un rol de servicio y aplica la delimitación por inquilino en la capa de aplicación en todas las rutas de consulta, con Row Level Security como segunda línea de defensa frente al acceso directo de clientes. Los clientes no tienen acceso directo a la base de datos.
• Las acciones administrativas y de cuenta se escriben en registros de auditoría de solo anexado. En esas tablas no existe ninguna política de UPDATE ni de DELETE, por lo que un cliente autenticado no puede reescribir el historial; las entradas solo salen mediante la tarea programada de retención de 24 meses. Las escrituras de auditoría son deliberadamente no bloqueantes, de modo que un fallo de registro nunca bloquea la acción en sí, lo que convierte al registro en un instrumento de rendición de cuentas y no en un registro de transacciones cuya integridad esté garantizada.
• Las sesiones bloqueadas o revocadas se propagan al borde mediante Cloudflare KV, que es de consistencia eventual y normalmente alcanza todas las ubicaciones en aproximadamente un minuto; los tokens de actualización en curso se invalidan en el servidor.

Sus derechos

Puede ejercer en cualquier momento sus derechos de acceso (Art. 15 RGPD), rectificación (Art. 16), supresión (Art. 17), portabilidad (Art. 20) y oposición (Art. 21). La exportación gratuita «Descargar mis datos» y el flujo «Eliminar cuenta» están disponibles en su Perfil. La exportación es un archivo JSON legible por máquina que abarca su perfil, equipos, sitios web, historial de seguridad y de inicios de sesión, tickets de soporte, conversaciones de IA, integraciones y los demás datos personales que conservamos sobre usted como titular de la cuenta.

Los residentes de California tienen los derechos CCPA/CPRA de conocer, eliminar, corregir y oponerse a la venta o el intercambio. Respetamos automáticamente la señal Global Privacy Control del navegador - si su navegador envía Sec-GPC: 1, lo tratamos como una opción de exclusión válida sin más trámite.

Para solicitudes escritas o derechos específicos de su jurisdicción, consulte la Política de Privacidad.

Lo que no afirmamos

Zenovay no está actualmente certificada SOC 2. Nuestros proveedores de infraestructura mantienen certificaciones y atestaciones estándar del sector: Cloudflare (SOC 2 Tipo II, ISO 27001, ISO 27018) y Oracle Cloud Infrastructure (SOC 2, ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018). Son certificaciones de esos proveedores, no nuestras. Actualizaremos esta página cuando obtengamos nuestra propia auditoría.

No declaramos certificaciones ISO 27001, HIPAA ni PCI DSS. Procesamos los pagos a través de Stripe, que cuenta con la certificación PCI DSS Nivel 1 - Zenovay nunca toca los datos brutos de tarjetas. Los análisis de seguridad automatizados están configurados para ejecutarse semanalmente contra nuestros repositorios de código, y cubren vulnerabilidades de dependencias (npm audit), análisis estático (Semgrep) y detección de secretos (gitleaks); el análisis dinámico de aplicaciones y Lighthouse solo se ejecutan en los servicios en los que hay configurado un objetivo de análisis. Supervisamos las actualizaciones de seguridad del software de base de datos que operamos y aplicamos las actualizaciones mediante un procedimiento de actualización probado. No hemos encargado ninguna prueba de penetración independiente.

Notificar un problema de seguridad

Si descubre un problema de seguridad, contáctenos en [email protected].

Nuestro objetivo es acusar recibo de los informes en un plazo de 48 horas. Todavía no operamos un programa de recompensas por errores remunerado. Si desea que se le reconozca por un informe, le nombraremos, a usted o al pseudónimo que elija, en las notas de la versión que incluya la corrección.