Política de privacidad

Responsable del tratamiento

El responsable del tratamiento de tus datos personales es Vericto S.A.S., NIT 902.100.599-0 (en adelante, "Vericto"), con domicilio en Bogotá D.C., Colombia. Para cualquier consulta relacionada con el tratamiento de tus datos, o para ejercer tus derechos de habeas data conforme a la Ley 1581 de 2012, puedes contactarnos en privacy@vericto.com.

Esta política cubre los datos de los que Vericto es responsable: cuenta, autenticación, facturación, soporte, uso del servicio y del sitio. Cuando Vericto trata, por cuenta de un cliente, los datos personales que contienen sus sentencias SQL, sus eventos de evaluación, sus reportes y la configuración de su workspace, actúa como encargado según el Acuerdo de Tratamiento de Datos: el cliente es el responsable de esos datos, y las solicitudes sobre ellos se dirigen al cliente.

Datos recopilados

Vericto recopila cuatro categorías de datos:

1. Datos de cuenta

• Email: para autenticación, notificaciones transaccionales y comunicaciones del servicio.
• Nombre del workspace: identificador del proyecto o entorno.
• Información de facturación: procesada directamente por el procesador de pagos (Paddle). Vericto no recibe ni almacena números de tarjeta; solo conserva el identificador de cliente y suscripción que el procesador nos devuelve, más los metadatos de la factura (importe, moneda, fecha, estado).
• Dirección IP y user agent: registrados en cada sesión para seguridad y rate limiting.

2. Datos de uso del producto

• Connection strings de bases de datos: Vericto no los recibe ni los almacena; se configuran en el proxy, dentro de tu infraestructura.
• Texto de queries SQL interceptadas: almacenado cifrado en el audit trail. Retenido según el plan (7, 30 o 90 días, o lo que fije el contrato Enterprise). Accesible solo por miembros del workspace. Vericto lo trata como encargado, por cuenta del cliente (DPA).
• Metadatos de queries: timestamp, dialecto, decisión (BLOQUEADA/PERMITIDA), regla activada, latencia, nodo AST. No cifrados, usados para métricas del dashboard.
• Configuración de reglas: reglas estándar activas y reglas custom definidas por el usuario.

3. Datos de telemetría

• Uso del sitio web y del dashboard (vericto.com y app.vericto.com): páginas visitadas, tiempo en el sitio y los pasos clave del alta (registro, primera query evaluada, inicio del pago y compra), medidos con Google Analytics 4 solo si aceptas las cookies de analítica en el banner. En el dashboard se asocian a un identificador interno opaco de tu cuenta, nunca a tu email.
• Origen de tu registro: al crear la cuenta guardamos de qué campaña o sitio llegaste: los parámetros utm_* del enlace, el identificador de clic del anuncio si lo hay, el dominio que te refirió y la página de entrada, de la primera y de la última visita de campaña. No incluye datos personales y solo sirve para medir qué canales traen clientes. Se conserva mientras exista la cuenta y se borra con ella.
• Errores y excepciones: registrados en los logs operativos del backend (Amazon CloudWatch), que se conservan 90 días. Los logs no incluyen el texto de tus queries.

4. Firmas del acuerdo de contribución (CLA)

• Solo si contribuyes a un proyecto de Vericto en GitHub: al firmar el Contributor License Agreement se registran tu usuario de GitHub, el nombre y el email que ingresas, la fecha y hora de la firma y la versión firmada.

4. Asistente del sitio y formulario de contacto

• Conversaciones con el asistente de vericto.com: la pregunta que escribes, la respuesta, la página desde la que preguntas y un identificador aleatorio de la sesión (30 minutos). No usamos cookies ni pedimos datos personales para usar el asistente, y te pedimos que no escribas ninguno. No guardamos tu IP: solo un valor derivado de ella con una clave que cambia cada día, que sirve para detectar abuso y no permite recuperarla ni relacionar días distintos.
• Preguntas enviadas al equipo: si eliges que te respondamos por email, tu email y, si los das, tu empresa, tu rol y tu motor de base de datos, junto con tu pregunta y la conversación con el asistente. Solo con tu consentimiento expreso, del que guardamos el texto aceptado, la versión y la fecha.

Uso de los datos

Usamos tus datos exclusivamente para:

• Prestación del servicio: interceptar y analizar queries SQL, mantener el audit trail, enviar notificaciones de bloqueo.
• Seguridad: detectar accesos no autorizados, prevenir abuso, rate limiting.
• Mejora del producto: análisis agregado y anonimizado de patrones de uso para priorizar features. Nunca análisis individualizado sin consentimiento.
• Comunicaciones transaccionales: emails de verificación, recuperación de contraseña, alertas de cuota, facturas. No enviamos emails de marketing sin opt-in explícito.
• Soporte técnico: cuando contactas con soporte, podemos acceder a los metadatos de tu workspace (no al contenido de las queries) para diagnosticar problemas.
• Medición de campañas: saber, en forma agregada, qué canales (LinkedIn, X, newsletters, comunidades) traen registros, cuentas activas y clientes. La cookie de atribución y Google Analytics se basan en tu consentimiento; el origen que viaja en el propio enlace de registro, en nuestro interés legítimo en medir nuestras campañas, informado en esta política que aceptas al registrarte.
• Asistente del sitio: responder tus preguntas con la documentación de Vericto, revisar cada semana las preguntas que no supo responder para mejorar el contenido del sitio, y prevenir abuso. Las respuestas las genera un modelo de IA y pueden contener errores. Si nos envías tu pregunta, la usamos solo para responderte.
• Registro de contribuciones: conservar la prueba de las licencias que otorgan, mediante el CLA, quienes contribuyen a los proyectos de Vericto.

Nunca vendemos tus datos a terceros. Nunca usamos el contenido de tus queries para entrenar modelos de IA.

Retención de datos

Tipo de dato	Plan Free	Plan Builder	Plan Team	Enterprise
Texto de queries y metadatos (audit trail)	7 días	30 días	90 días	Sin límite, o lo que fije el contrato
Datos de cuenta	Hasta cancelación + 30 días
Logs de acceso (IP, user agent)	90 días
Eventos de seguridad de la cuenta (inicios de sesión, MFA, intentos fallidos)	365 días
Archivos de exportación (tus datos personales y el audit trail)	7 días
Adjuntos de tickets de soporte y feedback	180 días
Conversaciones con el asistente del sitio	30 días (se eliminan en la limpieza semanal siguiente: como máximo 37 días)
Preguntas enviadas al equipo desde el sitio	12 meses
Datos de facturación	7 años (obligación legal)
Firmas del CLA	Mientras se distribuyan las contribuciones que cubren

Al bajar de plan, el texto de queries y sus metadatos conservan durante 30 días la retención del plan anterior; después se aplica la del plan nuevo. Puedes pedir que se eliminen antes escribiendo a privacy@vericto.com.

Al eliminar tu cuenta, desde Configuración → Cuenta → Eliminar cuenta o escribiendo a privacy@vericto.com, la desactivamos de inmediato y la eliminamos de forma definitiva en un plazo máximo de 30 días; hasta entonces puedes cancelar la eliminación. Los workspaces en los que eras el único miembro se eliminan con todos sus datos. Solo conservamos los datos de facturación que debemos retener por obligaciones legales y, en los workspaces de otros equipos, el registro de las acciones que hiciste, con tu identidad reemplazada por un seudónimo, sin tu nombre, tu email ni tu dirección IP. Las copias de respaldo se eliminan a más tardar 30 días después.

Terceros y subprocesadores

Vericto usa los siguientes subprocesadores para prestar el servicio:

• Supabase (PostgreSQL) (Estados Unidos, us-east-1): almacenamiento de datos de cuenta, audit trail y configuración.
• Amazon Web Services (Estados Unidos, us-east-1): hosting del backend y de la API, gestión de secretos y logs operativos. También Amazon Bedrock, que ejecuta el asistente del sitio (modelos de Anthropic y de Cohere servidos por AWS en us-east-1, us-east-2 y us-west-2). Bedrock no comparte las preguntas ni las respuestas con los proveedores de los modelos y no las usa para entrenarlos.
• Paddle.com Market Ltd (Reino Unido): procesamiento de pagos como merchant of record. Recibe tu email, nombre, país y datos de pago para emitir la factura y calcular impuestos. Al actuar como vendedor autorizado, Paddle es responsable del tratamiento de esos datos como responsable independiente, sujeto a su propia política de privacidad. Transferencias fuera del EEE amparadas en las cláusulas contractuales tipo del Reino Unido.
• Upstash (Upstash, Inc., Estados Unidos, región primaria us-east-1): base de datos Redis para la caché de reglas, los límites de uso, el bloqueo de inicios de sesión fallidos y el estado temporal del login. Guarda identificadores y contadores, no el contenido de tus queries.
• GitHub (GitHub, Inc., Estados Unidos): inicio de sesión con GitHub, solo si lo eliges. Recibimos tu email y nombre de usuario de GitHub.
• Resend (Estados Unidos): envío de emails transaccionales (verificación de cuenta, invitaciones, alertas, recuperación de contraseña). Solo recibe el email de destino y el contenido del mensaje.
• Cloudflare: CDN y protección DDoS. Puede procesar IPs de origen. Con Cloudflare Turnstile verifica que quien usa el asistente o el formulario de contacto es una persona; Turnstile no usa cookies. En este sitio, Cloudflare Web Analytics mide visitas de forma agregada (páginas vistas, país, navegador y rendimiento de carga) sin cookies ni identificadores persistentes, y no se usa para seguirte entre sitios.
• Google Analytics 4 (Google LLC, Estados Unidos): medición de uso del sitio web y del dashboard, solo si aceptas las cookies de analítica. Si las aceptaste, nuestro servidor también le envía la primera query evaluada, la compra de un plan (importe, moneda y plan) y su cancelación, con tu identificador seudónimo de Google Analytics. Sin Google Signals ni personalización de anuncios; GA4 no almacena direcciones IP.
• CLA Assistant (servicio de SAP SE, Alemania): solo para quienes contribuyen a un proyecto de Vericto. Registra las firmas del Contributor License Agreement; los datos se almacenan en Microsoft Azure, en Europa, sujetos a la declaración de privacidad de CLA Assistant.

El proxy TCP se ejecuta en tu propia infraestructura y lo operas tú: Vericto no lo aloja ni tiene acceso de red a tus bases de datos.

Todos los subprocesadores están sujetos a acuerdos de tratamiento de datos (DPA) con las garantías de transferencia que exige la normativa aplicable, excepto CLA Assistant, que opera bajo su propia declaración de privacidad.

Tus derechos bajo GDPR

Si eres residente en el Espacio Económico Europeo, tienes los siguientes derechos:

• Acceso: puedes descargar una copia de los datos personales que tenemos sobre ti, en formato JSON, desde Configuración → Cuenta → Exportar tus datos, o pedirla por email.
• Rectificación: puedes corregir datos inexactos directamente en la configuración de tu cuenta o solicitándolo por email.
• Supresión ("derecho al olvido"): puedes eliminar tu cuenta desde Configuración → Cuenta → Eliminar cuenta, o pedirlo por email. Qué se elimina, cuándo y qué se conserva está en la sección de retención; los datos de facturación se retienen por obligación legal durante el plazo indicado en la tabla.
• Portabilidad: puedes exportar tus datos personales en formato JSON desde Configuración → Cuenta, y los datos de tu workspace (audit trail, configuración de reglas) desde el dashboard.
• Oposición: puedes oponerte al tratamiento de tus datos para análisis de uso. Esto no afecta al funcionamiento del servicio.
• Limitación: puedes solicitar la limitación del tratamiento mientras se resuelve una disputa sobre la exactitud de los datos.

El acceso, la portabilidad y la supresión de tu cuenta están disponibles en el dashboard, en Configuración → Cuenta. Para estos derechos o cualquier otro, o si no puedes iniciar sesión, escribe a privacy@vericto.com. Responderemos en un plazo máximo de 30 días.

Si consideras que el tratamiento de tus datos no es conforme, puedes presentar una reclamación ante la Superintendencia de Industria y Comercio (SIC), autoridad de protección de datos de Colombia, en www.sic.gov.co. Si resides en el Espacio Económico Europeo o el Reino Unido, puedes además reclamar ante la autoridad de control de tu país de residencia.

Tus derechos bajo CCPA (residentes de California)

Si eres residente en California, tienes derechos adicionales bajo la California Consumer Privacy Act:

• Derecho a saber: puedes descargar los datos personales que tenemos sobre ti desde Configuración → Cuenta → Exportar tus datos, y solicitar información sobre las categorías de datos personales que recopilamos y con quién los compartimos.
• Derecho a eliminar: puedes eliminar tu cuenta desde Configuración → Cuenta → Eliminar cuenta, o solicitarlo por email, con las excepciones legales aplicables.
• Derecho a no discriminación: no discriminamos a usuarios que ejercen sus derechos CCPA.
• Derecho a opt-out de venta: Vericto no vende datos personales. No aplica el mecanismo de opt-out de venta.

Cookies

Vericto usa las siguientes cookies:

• Cookies de sesión (esenciales): JWT de autenticación en httpOnly cookie. Necesaria para el funcionamiento del servicio. No puede desactivarse.
• Cookie de preferencia de idioma (funcional): vericto-locale, con una duración de 1 año. En el sitio público solo se crea si cambias el idioma con el selector; nunca se deduce de tu ubicación ni de la configuración de tu navegador. La lee nuestro servidor para abrir la página en el idioma que elegiste. No es de seguimiento y no se comparte con terceros. Puedes borrarla desde tu navegador y el sitio seguirá funcionando en inglés.
• Preferencias guardadas en tu navegador (no son cookies): en el dashboard se guardan en localStorage el tema (vericto-theme), el idioma (vericto-locale), la zona horaria (vericto-timezone) y el formato de hora (vericto-time-format). Si tienes sesión iniciada, estas preferencias también se asocian a tu cuenta para que te sigan entre dispositivos.
• Cookies de analítica (Google Analytics 4): _ga y _ga_*, 2 años. Solo se instalan si las aceptas en el banner de consentimiento; puedes retirar el consentimiento cuando quieras desde «Preferencias de cookies», en el pie de cada página. Detalle en la política de cookies.
• Cookie de atribución de campañas (analítica, propia): vericto_attr, 90 días. Recuerda la primera y la última campaña que te trajo para asociarla a tu cuenta si te registras. Solo se instala si aceptas la analítica, no contiene datos personales y ningún tercero la lee. La cookie vericto_consent (necesaria, 6 meses) guarda tu elección para vericto.com y app.vericto.com.

No usamos cookies de publicidad ni de seguimiento cross-site.

Contacto con el DPO

Para cualquier consulta sobre privacidad, ejercicio de derechos, o incidentes de seguridad relacionados con datos personales, contacta con nuestro Delegado de Protección de Datos:

• Email: privacy@vericto.com
• Tiempo de respuesta: máximo 30 días calendario
• Idiomas: español, inglés

Para incidentes de seguridad que puedan afectar a datos personales, escribe a security@vericto.com. Respondemos en menos de 48 horas.