Política de Privacidad

Cuando creas una cuenta

El inicio de sesión se hace con Google. Google nos indica tu correo electrónico, tu nombre y que la dirección está verificada. Nunca vemos tu contraseña de Google y no le pedimos nada más.

En la pantalla siguiente te preguntamos cómo llamar a tu espacio de trabajo y, si quieres, un número de teléfono. El número es opcional, solo se usa si nos contactas por un plan, y dejarlo en blanco no cambia nada en tu cuenta.

Guardamos tu correo, tu nombre, tu teléfono si nos lo diste, los espacios de trabajo a los que perteneces y las fechas y horas en que iniciaste sesión. Las sesiones se guardan en nuestra base de datos para que puedas cerrarlas; la cookie que renueva una sesión es HttpOnly y JavaScript no puede leerla.

El contenido que publicas

Los artículos, categorías, etiquetas, perfiles de autor, archivos multimedia y la configuración son tuyos. Los guardamos para que la API pueda servirlos, y no los leemos, no los vendemos ni los usamos para entrenar nada.

Eliminar un artículo es una eliminación lógica: el registro se marca como eliminado, deja de servirse de inmediato y se borra cuando lo solicitas. Eliminar un proyecto revoca sus claves de API en ese mismo momento.

Si conectas tu propio clúster de MongoDB, tu contenido se guarda ahí y no con nosotros. Guardamos los datos de conexión, cifrados, y nada más sobre ese contenido.

Quienes leen tu blog

Esta es la parte sobre la que la mayoría de las herramientas de analítica es imprecisa, así que vale la pena ser exactos. CMSKite cuenta las visitas y los clics de tus artículos sin poner cookies a tus lectores y sin guardar su dirección IP ni su user agent.

Un lector se identifica durante un día mediante un hash, no mediante un identificador que emitamos nosotros:

• El hash es el SHA-256 de un salt diario aleatorio, el id del proyecto, la dirección IP del lector y su user agent.
• El salt se guarda en nuestra base de datos Redis, que lo escribe en disco para que un reinicio no divida a un lector en dos, y caduca a las 48 horas.
• Una vez que el salt de un día caduca, nadie puede volver a calcular los hashes de ese día, ni siquiera nosotros.
• La dirección IP y el user agent nunca se guardan. Solo se guarda el hash, con cada evento de lectura, durante 90 días. Es un dato seudonimizado: representa a un lector, en un sitio, durante un día.

Lo que esto cuesta, dicho con honestidad: dos lectores en la misma red de oficina con la misma versión de navegador cuentan como uno, y el mismo lector vuelve a contar al día siguiente. Es el precio de no usar cookies, y decidimos pagarlo.

También guardamos, por evento, la ruta de la página sin la query string, el dominio del sitio de origen (nunca la URL completa) y el código de país de dos letras, si nuestro borde lo proporcionó. Las query strings se eliminan porque ahí terminan los ids de campaña y, a veces, direcciones de correo.

Respecto a los datos de los lectores de tu blog, quien decide sobre su tratamiento eres tú, como dueño del sitio; CMSKite los trata por cuenta tuya, como encargado.

Cuánto tiempo conservamos los datos

Estos plazos los aplica la base de datos, no una tarea que alguien tenga que acordarse de ejecutar.

• Eventos de lectura: 90 días. Incluyen el hash diario descrito arriba. Los totales diarios y por artículo que se calculan a partir de ellos se conservan indefinidamente y no contienen identificadores.
• Registros de solicitudes a la API usados para facturación y límites de uso: 14 días. Los resúmenes diarios generados a partir de ellos son el registro de facturación y se conservan.
• Registro de auditoría de los cambios hechos en tu espacio de trabajo: 24 meses.
• Registros de entrega de webhooks: 90 días.
• Tu cuenta y tu contenido: hasta que los elimines o nos pidas cerrar tu cuenta.

Publicidad y analítica del sitio

cmskite.com usa el píxel de Meta y Plausible Analytics. Plausible no usa cookies ni recopila datos personales.

Si nos das tu correo en la página principal a cambio de la guía de inicio rápido, guardamos esa dirección, el bloque desde el que la enviaste y los parámetros de campaña de la URL con la que llegaste. Lo usamos para enviarte lo que pediste y para contarte sobre CMSKite. Cada uno de esos correos tiene un enlace para darte de baja, y puedes pedirnos que eliminemos la dirección en cualquier momento.

También enviamos a Meta tres eventos desde nuestro servidor, para saber qué publicidad funciona de verdad: cuando alguien envía ese formulario de correo, cuando se crea una cuenta y cuando la clave de API de un proyecto nuevo se usa por primera vez. Lo que enviamos es tu correo, tu teléfono, tu nombre y nuestro id para ti, cada uno convertido en hash SHA-256 antes de salir de nuestros servidores. Meta no puede leerlos; solo puede compararlos con hashes que ya tiene.

A propósito, no enviamos a Meta la dirección IP ni el user agent del servidor que hizo una llamada a la API, porque esa máquina no eres tú, y decirle lo contrario a una plataforma de publicidad sería una afirmación que no podemos respaldar.

Si prefieres que nada de esto ocurra, un bloqueador de rastreadores detiene la parte del navegador, y una solicitud a la dirección de abajo detiene el resto.

Datos de Google Search Console

Si conectas Google Search Console a un proyecto, pedimos a Google acceso de solo lectura (el permiso webmasters.readonly) a las propiedades de Search Console de la cuenta de Google que elijas. Nunca cambiamos nada en tu Search Console.

Qué guardamos: la propiedad elegida, el correo de esa cuenta de Google, un token de acceso cifrado y el rendimiento de búsqueda que Google informa para la propiedad: clics, impresiones, porcentaje de clics y posición media, por día, por página y por consulta de búsqueda.

Para qué lo usamos: solo para mostrarte cómo le va a tu sitio en la Búsqueda de Google y calcular recomendaciones para él, dentro de tu propio espacio de trabajo. Las personas de tu espacio de trabajo con acceso a ese proyecto lo ven; nadie más.

Lo que nunca hacemos: venderlo, usarlo para publicidad, compartirlo más allá de lo descrito aquí ni usarlo para entrenar modelos de IA. Cuando pides una explicación de una recomendación con IA, o usas Corregir con IA en un artículo, las cifras y las búsquedas que necesita esa petición se envían a nuestro proveedor de modelos de IA para generar la respuesta, y no se usan para entrenar sus modelos.

Cuánto tiempo lo guardamos: los datos de páginas 16 meses y los de consultas de búsqueda 90 días, igual que la retención del propio Google. Al desconectar, revocamos nuestro acceso en Google y borramos al momento todo lo que guardamos a partir de él. También puedes quitar nuestro acceso en cualquier momento desde la configuración de seguridad de tu cuenta de Google.

El uso y la transferencia por parte de CMSKite de la información recibida de las API de Google se ajustan a la Política de Datos del Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado.

Datos de Google Analytics

Si conectas Google Analytics a un proyecto, pedimos a Google acceso de solo lectura (el permiso analytics.readonly) a las cuentas y propiedades de Google Analytics 4 de la cuenta de Google que elijas. Leemos la lista de tus propiedades para que elijas una y, después, los informes de tráfico de esa propiedad. Nunca cambiamos nada en tu Google Analytics.

Qué guardamos: la propiedad elegida, el nombre de su cuenta, su zona horaria, su moneda y los dominios de su sitio, el correo de esa cuenta de Google, un token de acceso cifrado y el tráfico que Google informa para la propiedad: sesiones, usuarios activos, vistas de página, sesiones con interacción y tiempo de interacción, por día y por página. No recibimos ni guardamos nada sobre visitantes individuales.

Para qué lo usamos: solo para mostrarte cómo rinden las páginas de tu sitio y calcular recomendaciones para él, dentro de tu propio espacio de trabajo. Las personas de tu espacio de trabajo con acceso a ese proyecto lo ven; nadie más.

Lo que nunca hacemos: venderlo, usarlo para publicidad, compartirlo más allá de lo descrito aquí ni usarlo para entrenar modelos de IA. Nadie en CMSKite lo lee salvo que nos lo pidas para soporte, sea necesario por seguridad o para cumplir la ley, o esté agregado y anonimizado. Cuando pides una explicación de una recomendación con IA, las cifras que necesita esa petición se envían a nuestro proveedor de modelos de IA para generar la respuesta, y no se usan para entrenar sus modelos.

Cuánto tiempo lo guardamos: 16 meses. Al desconectar, revocamos nuestro acceso en Google y borramos al momento todo lo que guardamos a partir de él. También puedes quitar nuestro acceso en cualquier momento desde la configuración de seguridad de tu cuenta de Google.

El uso y la transferencia por parte de CMSKite de la información recibida de las API de Google se ajustan a la Política de Datos del Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado.

Quién más tiene acceso a tus datos

Mantenemos esta lista corta a propósito, y es la lista completa.

• Google: el inicio de sesión, del que recibimos tu correo, tu nombre y el estado de verificación; y, si lo conectas, Search Console, como se describe arriba.
• Hostinger: los servidores donde funciona esta plataforma, en la Unión Europea.
• MongoDB: donde se guardan el contenido y los registros de cuenta, salvo que hayas conectado tu propio clúster.
• Almacenamiento de objetos: donde se guardan las imágenes que subes. Los archivos van de tu navegador directamente al almacenamiento; nuestra API nunca maneja los bytes.
• Meta: los eventos de publicidad descritos arriba, en hash.
• Plausible Analytics: visitas a páginas de cmskite.com. Sin cookies, sin datos personales.
• El proveedor de modelos de IA detrás de escribir y corregir con IA: el texto de lo que le pides trabajar, para generar la respuesta. No se usa para entrenar sus modelos.

No vendemos datos a nadie y no los compartimos con nadie que no esté en esta lista.

Seguridad

Las claves de API se guardan como digests HMAC-SHA256 con un pepper guardado fuera de la base de datos, así que una copia de la base de datos por sí sola no produce una clave que funcione. Una clave se muestra una sola vez, al crearla, y nunca más.

Las cadenas de conexión y otros secretos que nos das se cifran en reposo con una clave guardada fuera de la base de datos.

Los datos de cada espacio de trabajo están separados en la capa de la base de datos, no por un filtro que cada consulta tenga que recordar aplicar, y esa separación está cubierta por un conjunto de pruebas dedicado.

Todo se sirve por HTTPS. No aceptamos credenciales por HTTP sin cifrar.

Tus derechos

Puedes pedirnos una copia de lo que tenemos sobre ti, pedirnos que lo corrijamos o que lo eliminemos. Escribe a la dirección de abajo y te responderemos en un plazo de 30 días, o en el plazo menor que fije la ley de tu país.

Puedes eliminar tu propio contenido y tus proyectos desde el panel en cualquier momento. Cerrar un espacio de trabajo elimina su contenido y revoca sus claves.

Si estás en la Unión Europea o en el Reino Unido, tienes los derechos que te da el RGPD, incluido el de presentar una reclamación ante la autoridad de protección de datos de tu país.

Aviso de privacidad para México

Este apartado, junto con el resto de esta página, es el aviso de privacidad integral que exige la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP).

Responsable: CMSKite, con domicilio en [DOMICILIO]. Contacto para todo lo relacionado con tus datos personales: cmskite.com@gmail.com.

Datos que tratamos: los descritos en las secciones anteriores (correo, nombre, teléfono si lo das, datos de sesión y de uso, y el correo que dejes en el sitio). No tratamos datos personales sensibles.

Finalidades primarias, necesarias para darte el servicio:

• crear y administrar tu cuenta y tus espacios de trabajo;
• guardar y servir tu contenido por la API;
• mantener la seguridad del servicio, aplicar límites de uso y llevar el registro de auditoría;
• facturar los planes de pago y atender tus solicitudes de soporte.

Finalidades secundarias, que no son necesarias para el servicio:

• enviarte correos sobre CMSKite si dejaste tu correo en el sitio;
• medir qué publicidad funciona, con los eventos en hash que enviamos a Meta.

Si no quieres que usemos tus datos para las finalidades secundarias, escríbenos a cmskite.com@gmail.com en cualquier momento, también antes de darnos tus datos. Negarte no afecta el servicio que recibes.

Derechos ARCO: puedes acceder a tus datos, rectificarlos, cancelarlos u oponerte a su tratamiento. Para ejercerlos, envía una solicitud a cmskite.com@gmail.com con tu nombre y un medio para responderte, un documento que acredite tu identidad (o la de tu representante legal), una descripción clara de los datos y del derecho que quieres ejercer, y cualquier dato que ayude a localizarlos. Te responderemos en un máximo de 20 días hábiles y, si la solicitud procede, la haremos efectiva en los 15 días hábiles siguientes.

Revocación del consentimiento: puedes revocar en cualquier momento el consentimiento que nos diste, con el mismo procedimiento y en la misma dirección (cmskite.com@gmail.com). Ten en cuenta que, si revocas el consentimiento para una finalidad primaria, quizá no podamos seguir dándote el servicio. También puedes limitar el uso de tus datos para correos dándote de baja con el enlace de cada correo.

Transferencias: compartimos datos solo con los proveedores de la lista “Quién más tiene acceso a tus datos”, que los tratan por cuenta nuestra y fuera de México (nuestros servidores están en la Unión Europea, y algunos proveedores operan en otros países, como Estados Unidos). No transferimos tus datos a terceros para sus propios fines ni los vendemos.

Cambios a este aviso de privacidad: cualquier cambio se publicará en esta página con la fecha de actualización arriba, y los cambios relevantes también se enviarán por correo a los titulares de cuentas.

Si consideras que tu derecho a la protección de datos fue vulnerado, puedes acudir a la autoridad mexicana de protección de datos personales competente.

Otros países de América Latina

Si vives en otro país de América Latina, tienes además los derechos que te da la ley de protección de datos de tu país, como acceder a tus datos, corregirlos, eliminarlos u oponerte a su tratamiento, y presentar una reclamación ante la autoridad de protección de datos local. Puedes ejercerlos escribiendo a la dirección de abajo, con el mismo procedimiento descrito para México.

Tus datos se tratan fuera de tu país, en los lugares indicados en la lista de proveedores, con las medidas de seguridad descritas en esta página.

Menores de edad

CMSKite es una herramienta para desarrolladores y no está dirigida a menores. No recopilamos a sabiendas datos de menores de 16 años. Si crees que lo hicimos, escríbenos y los eliminaremos.

Cambios en esta política

Si cambiamos qué datos recopilamos o con quién los compartimos, cambiaremos esta página y actualizaremos la fecha de arriba. Los cambios relevantes también se enviarán por correo a los titulares de cuentas.

Contacto

Preguntas sobre esta política, o una solicitud para ver, corregir o eliminar lo que tenemos sobre ti: escribe a cmskite.com@gmail.com y te responderemos en un plazo de 30 días (20 días hábiles en México).

CMSKite, [DOMICILIO].