Política de privacidad

Quién es el responsable

Por ahora Sonar es un servicio solo por invitación, gestionado por el equipo que lo opera en usesonarnow.com, y ese equipo es responsable de los datos personales que se describen aquí. La entidad jurídica y un contacto de privacidad específico se indicarán en esta página antes de ofrecer Sonar al público. Hasta entonces, envía tus solicitudes de privacidad a través de la persona que te invitó; ella puede contactar directamente con el equipo.

Datos de la cuenta y del espacio de trabajo

Cuando inicias sesión tratamos tu dirección de correo electrónico y el enlace de inicio de sesión de un solo uso que nuestro proveedor de autenticación le envía. Para propietarios y operadores también tratamos el registro del segundo factor (TOTP). Guardamos el nombre de tu espacio de trabajo, tu pertenencia y tu rol, los negocios y hosts de sitios web que añades y el perfil de negocio que rellenas, como mercados, idiomas y competidores.

Datos del sitio web y de búsqueda

• Resultados del rastreo: el rastreador de Sonar, que se identifica como SonarBot, obtiene las páginas públicas de los sitios que conectas y guarda las comprobaciones, puntuaciones y datos de página que deriva de ellas.
• Cuenta de Google (opcional): para los sitios que elijas, filas diarias de rendimiento de Search Console (consultas, páginas, clics, impresiones y posición media), informes de Google Analytics 4, ubicaciones de Business Profile y productos de Merchant Center. El acceso es de solo lectura, salvo que Sonar añade una verificación de Search Console para tu dominio cuando se lo pides. Los tokens de acceso se guardan cifrados.
• Bing AI Performance: las filas de los archivos CSV que subes, con el ID del usuario que los subió.
• Conteo de tráfico en el edge: si instalas el edge worker de Sonar, cuenta por día las visitas de rastreadores de IA conocidos y las referencias desde asistentes de IA conocidos, con rutas de página enmascaradas. Si activas el conteo de conversiones, también cuenta las conversiones de visitantes que llegaron desde un asistente de IA, como totales diarios por página de destino, usando un token de atribución añadido a tus enlaces internos. No guarda direcciones IP de visitantes, user agents completos, query strings, referrers completos ni ID de pedidos, y las visitas que no vienen de un rastreador o asistente de IA no generan ningún registro.
• Plugin de WordPress: su registro de rastreadores no guarda direcciones IP, user agents completos ni cookies. Una comprobación opcional de DNS inverso conserva un hash con sal de la dirección IP durante 24 horas, y las filas del registro se conservan durante 30 días.
• Contacto desde un buzón (opcional): si conectas un buzón de Gmail o Microsoft 365, Sonar envía desde él correos de contacto con permiso solo de envío y no puede leerlo. Las respuestas llegan a una dirección de respuesta de Sonar, se clasifican (por ejemplo, una baja) y se te reenvían. Para ello guarda las personas contactadas (nombres y correos de trabajo publicados en páginas web públicas), los mensajes enviados, una clasificación breve de cada respuesta (no su texto) y una lista permanente de no contactar.
• Conexiones de publicación y alojamiento (opcional): la integración de Vercel, GitHub, Shopify, Webflow y otros proveedores de CMS o DNS que conectes, para leer la configuración de tu sitio y aplicar los cambios aprobados; y los log drains de Vercel o Netlify, que envían registros de visitas de rastreadores. Las filas por visita de rastreadores, que pueden incluir la dirección IP del rastreador, se guardan hasta 400 días; los totales diarios se conservan.

Las consultas de búsqueda, el texto de las páginas y los contactos de alcance pueden contener datos personales de otras personas. Para esos datos, tú decides qué se trata, y Sonar los trata en tu nombre solo para prestarte el servicio.

Credenciales de conexión

Las credenciales que das a Sonar para actuar en tu sitio, como una contraseña de aplicación de WordPress, se cifran con AES-GCM usando una clave de datos distinta para cada espacio de trabajo. Esa clave está envuelta por una clave maestra guardada en el almacenamiento de secretos de Cloudflare, nunca en la base de datos, y la clave maestra no forma parte de las copias de seguridad.

Datos de las API de Google

El uso y la transferencia que Sonar hace de la información recibida de las API de Google cumplen la Google API Services User Data Policy, incluidos los requisitos de Limited Use. Los datos de tu cuenta de Google solo se usan para las funciones que activaste. No se venden, no se usan para publicidad ni para entrenar modelos de IA generales, y las personas de Sonar solo los leen con tu permiso, por seguridad o cuando la ley lo exige.

Aprobaciones y registro de auditoría

Sonar registra quién aprobó, rechazó o revirtió cada cambio, y por qué. El registro de auditoría es de solo anexado: sus entradas no se pueden editar ni eliminar, y se conserva cuando se cierra un espacio de trabajo (ver más abajo).

Escaneo gratuito y solicitudes de informe

El escaneo gratuito guarda el host escaneado, el día y el idioma que usaste, junto con el informe indicativo. No está vinculado a ninguna persona. Tu dirección IP se usa solo como hash unidireccional para limitar cuántos escaneos puede iniciar una red, y no se guarda.

Si nos pides que te enviemos un informe por correo, guardamos tu dirección de correo, el host escaneado, tu idioma, el momento en que diste tu consentimiento y la versión del texto de consentimiento que viste. Los usamos solo para enviarte ese informe y, de vez en cuando, novedades sobre Sonar. Puedes pedirnos que los eliminemos en cualquier momento mediante el contacto indicado en “Quién es el responsable”.

Cookies y almacenamiento del navegador

Sonar establece cuatro cookies propias, todas SameSite=Lax y, en https, Secure. Después de iniciar sesión: sonar_session guarda tu token de sesión durante una hora, sonar_refresh lo renueva hasta 30 días y sonar_ws recuerda durante 30 días el espacio de trabajo que elegiste; las tres son HttpOnly. sonar_lang recuerda el idioma de la interfaz durante un año y también se establece para visitantes sin sesión cuando una página se abre en un idioma elegido. Tu elección de tema se guarda en el almacenamiento local de tu navegador. Sonar no usa cookies ni scripts de analítica, publicidad o seguimiento. Las fuentes del sitio se cargan desde Google Fonts, así que tu navegador envía su dirección IP a Google al descargarlas.

Proveedores de servicios

• Supabase: base de datos, enlaces de inicio de sesión y comprobaciones del segundo factor, alojados en la región ap-south-1 (Bombay, India). Las llamadas a la Bing Webmaster API pasan por una función de Supabase.
• Cloudflare: alojamiento de este sitio web y del back end de Sonar (Workers y Workflows), almacenamiento de archivos y copias de seguridad (R2), limitación de solicitudes, renderizado de navegador para rastreos, embeddings de texto (Workers AI), nombres de host personalizados para el edge worker opcional, consultas DNS y el AI Gateway por el que pasa cada llamada a un proveedor de IA. El AI Gateway guarda registros de prompts y respuestas.
• OpenAI, Google (Gemini), Perplexity y Anthropic (Claude, a través de OpenRouter): responden los prompts de categoría y marca que miden cuántas veces los asistentes de IA citan tu sitio. Estos prompts pueden nombrar tu negocio y su categoría.
• Google (Gemini) y OpenRouter (modelos de OpenAI y Anthropic): redactan contenido y revisan su calidad. Una solicitud puede incluir la dirección, el título y el texto principal de una página, tu nombre de marca, datos que aportaste, competidores y extractos de fuentes.
• Las API de Google Search Console, Google Analytics, Business Profile, Merchant Center, YouTube Data, PageSpeed Insights y Chrome UX Report, la Bing Webmaster API e IndexNow: para leer los datos de búsqueda y rendimiento de tus sitios y avisar a los buscadores de las páginas que cambian.
• DataForSEO y Bright Data: resultados de búsqueda, AI Overviews y respuestas de AI Mode, volúmenes de palabras clave y datos de backlinks para las consultas y dominios que Sonar sigue para tus sitios. Las solicitudes contienen palabras clave, dominios y mercados, no datos sobre ti.
• Google (Gmail) y Microsoft (Microsoft 365): solo si conectas un buzón para contactar, con permiso solo de envío. Resend: entrega los correos que envía el propio Sonar, como alertas operativas, y recibe las respuestas a los correos de contacto para reenviártelas.
• Vercel, Netlify, GitHub, Shopify, Webflow y otros proveedores de publicación, alojamiento o DNS: solo los que conectes, para leer la configuración de tu sitio, recibir log drains y aplicar los cambios aprobados. Vercel también puede alojar este sitio web; hoy solo redirige a esta dirección.
• Slack y Microsoft Teams: solo si un propietario del espacio de trabajo añade un webhook; Sonar publica allí las notificaciones de ese espacio de trabajo.
• Google Fonts: sirve las fuentes de este sitio web; tu navegador las pide directamente a Google.
• Telegram: solo mensajes operativos para el equipo de Sonar.

Cuánto tiempo conservamos los datos

Las copias de seguridad de la base de datos se exportan cada semana, con exportaciones incrementales diarias, y se eliminan a los 90 días. Cloudflare guarda el historial de ejecuciones de workflows durante 7 días y los registros de errores se conservan hasta 30 días. Una tarea semanal elimina los eventos operativos a los 180 días, las filas por visita de rastreadores a los 400 días, las filas de posiciones de búsqueda a los 730 días, los archivos brutos de tráfico del edge y los documentos de escaneo antiguos a los 90 días, y las capturas de páginas guardadas como prueba a los 400 días. Las puntuaciones, las mediciones de respuestas de IA, los registros de costes y el registro de auditoría se conservan mientras exista tu espacio de trabajo; el registro de auditoría, más tiempo, como se describe abajo. Las solicitudes de informe del escaneo gratuito se conservan hasta que nos pidas eliminarlas.

Desconectar un sitio y cerrar un espacio de trabajo

Cuando desconectas un sitio, Sonar detiene toda su automatización y elimina de inmediato las credenciales que almacenó para ese sitio. El historial de mediciones del sitio y el registro de auditoría se conservan mientras exista tu espacio de trabajo.

Cuando el propietario cierra un espacio de trabajo, toda la automatización se detiene y todas las credenciales almacenadas se eliminan de inmediato, y Sonar exporta los datos del espacio de trabajo como un archivo JSON que el propietario puede descargar. 30 días después se eliminan los datos del espacio de trabajo y la exportación. Las copias incluidas en las copias de seguridad de la base de datos caducan junto con esas copias de seguridad.

El registro de auditoría de aprobaciones, cambios y acciones de la cuenta no se elimina al cerrar un espacio de trabajo: se conserva como prueba durante al menos cuatro años para cumplir las obligaciones legales y contables de conservación.

Dónde se tratan los datos

La base de datos está alojada en India (región de Supabase ap-south-1). Cloudflare y los demás proveedores indicados arriba tratan los datos en sus propias redes, que pueden estar fuera de tu país. Hoy no existe la opción de residencia de datos en la UE. Las garantías de estas transferencias se describirán aquí tras la revisión legal.

Tus opciones y derechos

Puedes pedir una copia de tus datos, su corrección o su eliminación mediante el contacto indicado en “Quién es el responsable”. Un propietario del espacio de trabajo también puede exportar los datos y cerrar el espacio de trabajo desde Ajustes. Respondemos dentro del plazo que exige la ley que te aplica.

Cambios en esta política

Publicaremos los cambios en esta página y, en el caso de cambios sustanciales, avisaremos a los usuarios con sesión iniciada antes de que entren en vigor.