Política de privacidad

1.Quién controla tus datos

La responsable del tratamiento de los datos (controladora) es Smart Data Invest LLC, sociedad constituida en el estado de Delaware, Estados Unidos, con oficina en Orlando, Florida, que opera Scanfull (scanfull.dev). En este texto, "Scanfull", "nosotros" y "nuestro" se refieren a ella.

Para cualquier asunto de privacidad, incluso para ejercer tus derechos, el contacto es help@scanfull.dev. Esa misma dirección funciona como canal del delegado de protección de datos (DPO), donde la ley exige uno.

2.Qué datos recopilamos y para qué

Recopilamos datos en tres momentos: cuando ejecutas un escaneo, cuando compras un plan y cuando hablas con nosotros.

• Al ejecutar un escaneo (gratuito o pago): la URL que pegaste, lo que tu sitio respondió a nuestro navegador (cabeceras, páginas, archivos públicos), los hallazgos y las evidencias de cada falla, la nota resultante y tu dirección IP. Finalidad: ejecutar la auditoría, generar el informe, permitir la reprueba y limitar el abuso (la IP sirve para el control de volumen por origen). Los secretos encontrados en tu sitio, como claves de API, se enmascaran antes de cualquier grabación: guardamos una versión parcial y un hash, nunca el valor completo.
• Al comprar un plan (vía Stripe): correo, nombre y, si quieres indicarlo, teléfono; el registro de la compra (plan, valor, fecha, identificador del pago). Finalidad: enviar el enlace de acceso al informe y el enlace mágico del panel, emitir y cobrar, atender solicitudes de reembolso y cumplir obligaciones fiscales y contables. No recibimos ni guardamos el número de tu tarjeta: eso queda con Stripe.
• Al hablar con nosotros: el contenido del correo que envías a help@scanfull.dev y la dirección de donde vino. Finalidad: responder y mantener historial de atención.
• Al usar el sitio: registros técnicos generados por la infraestructura (fecha y hora de la solicitud, IP, navegador, página accedida), usados para operar el servicio, diagnosticar errores y proteger contra ataques.

Para correr las verificaciones, el navegador también puede solicitar rutas y endpoints públicos comunes de tu sitio y consultar fuentes públicas sobre tu dominio, como los registros de Certificate Transparency usados para descubrir subdominios. Esto queda en la superficie pública y es solo lectura.

No pedimos ni queremos: contraseñas, datos de tarjeta, documentos de identidad ni ningún dato sensible. Si pones un secreto dentro de una URL enviada para escanear, puede quedar registrado; por eso te pedimos que nunca lo hagas.

También podemos generar datos agregados y anonimizados (por ejemplo, "x% de los sitios hechos con determinada herramienta exponen tal falla") para mejorar el servicio y publicar estadísticas. Esos datos no te identifican a ti ni a tu sitio.

3.En qué nos basamos para tratar los datos

Donde la ley exige una base legal para cada tratamiento (como en la UE, el Reino Unido y Brasil), usamos las siguientes:

• Ejecución de contrato: ejecutar el escaneo que pediste, entregar el informe, permitir la reprueba, enviar los enlaces de acceso y procesar el pago.
• Interés legítimo: limitar el abuso y proteger la infraestructura (IP y registros técnicos), diagnosticar errores, prevenir fraude, mantener historial de atención y producir estadísticas anonimizadas. En esos casos, evaluamos que nuestro interés no perjudique tus derechos de forma desproporcionada.
• Obligación legal: guardar registros de pago por el plazo que la ley fiscal y contable exige, y atender órdenes de autoridades.
• Consentimiento: solo para comunicaciones de marketing o por WhatsApp, que debes autorizar de forma explícita y puedes revocar en cualquier momento.

4.La sesión de acceso (planes + Usuario y + Admin)

Para auditar el área logueada de tu sitio, proporcionas una sesión temporal de tu propio navegador (la cookie o token creado después del login), nunca la contraseña. Esa sesión merece un trato propio:

• Viaja solo dentro del job del escaneo, hasta el navegador que ejecuta la auditoría.
• Es efímera: usada mientras el escaneo corre y descartada enseguida. No se guarda en base de datos, en log, en copia de seguridad ni en ningún otro lugar.
• Los datos personales que el navegador llegue a ver dentro del área logueada (por ejemplo, nombres de usuarios de tu sistema) solo entran en el informe en la medida necesaria para probar una falla, como evidencia, y siempre enmascarados cuando es posible.

Recomendamos usar una cuenta de prueba o cerrar la sesión (hacer logout) después del escaneo, lo que invalida la cookie proporcionada.

5.Monitoreo recurrente

Si activas el monitoreo recurrente de un informe pago, volvemos a correr la auditoría automatizada en el sitio de ese informe con la frecuencia que elegiste (diaria o semanal) y te enviamos un correo cuando aparece un hallazgo nuevo relevante. Esto agrega lo siguiente:

• Guardamos tu elección de monitoreo (si está activado y con qué frecuencia) en el informe y, cuando una corrida encuentra algo nuevo, un registro de alerta — para no enviarte el mismo correo dos veces por el mismo evento.
• Las alertas se envían al correo de tu compra, como mensaje transaccional de un servicio que activaste. Pueden incluir la dirección del sitio, un resumen de lo nuevo y un enlace al informe actualizado.
• Cada corrida de monitoreo recopila los mismos datos de escaneo descritos en "Qué datos recopilamos y para qué", para las mismas finalidades, de forma recurrente.

Puedes desactivar el monitoreo en cualquier momento desde el panel "mis informes", lo que detiene las próximas corridas y alertas, y puedes pedir la eliminación del historial de alertas en help@scanfull.dev. El monitoreo no agrega nuevos destinatarios: quienes lo ejecutan son los mismos operadores listados en "Con quién compartimos".

6.Con quién compartimos

No vendemos tus datos ni los alquilamos. Los compartimos con quienes los necesitan para que el servicio funcione (nuestros operadores o subprocesadores) y, en el sitio institucional, con las plataformas de anuncios que usamos para medir y dirigir nuestras campañas. Todos actúan bajo un contrato que los obliga a proteger los datos:

• Stripe — procesamiento de pagos y checkout. Es quien recibe los datos de tu tarjeta.
• Purelymail — envío y recepción de los correos de help@scanfull.dev (enlaces de acceso, soporte).
• Vercel — hospedaje del sitio y ejecución de la aplicación.
• Neon — base de datos (Postgres) donde quedan los escaneos, los hallazgos y los registros de compra.
• Upstash — cola de procesamiento de los escaneos.
• OpenAI — inteligencia artificial del asistente de ayuda opcional (niveles +Usuario/+Admin), que te guía para liberar el acceso a tu área logueada. Recibe tus mensajes y la captura de pantalla que envíes, solo para responder. La captura se envía a OpenAI y se guarda por pocos días (para mejorar el soporte) — no pongas contraseña ni dato sensible en la captura; si aparece, difumínalo. Las correcciones del informe NO usan IA de terceros: se generan con un catálogo propio, en nuestro servidor.
• Google (Google Analytics) — recibe, vía las cookies de análisis descritas en la sección "Cookies", datos de uso del sitio (páginas accedidas, origen del tráfico) para generar las estadísticas de audiencia. Actúa como nuestro subprocesador.
• Meta (Facebook/Instagram) y LinkedIn — solo en las páginas institucionales del sitio, reciben, vía los pixels descritos en la sección "Cookies", la señal de que visitaste una página o realizaste una acción, para medir la eficacia de nuestros anuncios y permitir remarketing. Esa señal no incluye el contenido de tus escaneos, que nunca se comparte con plataformas de anuncios.

Además de esos, podemos compartir datos cuando la ley lo exija (orden judicial, requerimiento de autoridad competente), para proteger derechos, seguridad o propiedad de Scanfull y de terceros, o en una reorganización societaria, fusión o venta, en cuyo caso el adquirente asume las obligaciones de esta política.

Divulgación responsable: si encontramos una falla que afecta a un tercero, avisamos que existe, nunca dónde ni cómo explotarla. El detalle técnico solo va a quien pruebe ser el dueño del dominio.

7.Transferencias internacionales

Smart Data Invest LLC está en Estados Unidos, y nuestra infraestructura y nuestros operadores procesan los datos allí. Si estás en otro país, tus datos se transferirán a Estados Unidos.

Cuando la ley de tu país exige salvaguardas para esa transferencia, usamos las previstas en la ley: para datos provenientes de la UE, del Reino Unido y de Brasil, las cláusulas contractuales estándar aprobadas por las autoridades competentes (o instrumento equivalente) con nuestros operadores, además de medidas técnicas como cifrado en tránsito y en reposo. Puedes pedir más información sobre esas salvaguardas en help@scanfull.dev.

8.Cuánto tiempo guardamos

Guardamos cada dato solo por el tiempo necesario para la finalidad para la cual fue recopilado:

• Escaneos, hallazgos e informes: mientras el informe necesite estar accesible por el enlace y para permitir reprueba y comparación entre escaneos del mismo sitio. Puedes pedir la eliminación en cualquier momento.
• Datos de compra (correo, nombre, teléfono, registro del pago): por el plazo que la ley fiscal y contable exige para registros financieros, y mientras sea necesario para atender reembolsos y disputas.
• Dirección IP y registros técnicos: por plazo corto, solo lo suficiente para el control de abuso y el diagnóstico de errores.
• Sesión de acceso: no se guarda. Se descarta apenas termina el escaneo.
• Configuración de monitoreo e historial de alertas: mientras el monitoreo esté activado, más un período corto después; puedes desactivarlo y pedir la eliminación en cualquier momento.
• Correos de soporte: por el tiempo necesario para la atención y un historial razonable de la relación.

Pasados esos plazos, los datos se borran o anonimizan, salvo que la ley exija guardarlos por más tiempo.

9.Cómo protegemos los datos

Aplicamos a nuestro propio servicio lo que exigimos de los sitios que auditamos: tráfico cifrado (HTTPS), cabeceras de seguridad estrictas, acceso a la base de datos restringido y secretos encontrados enmascarados antes de cualquier grabación, regla verificada por una prueba automatizada y por una restricción en la propia base de datos. El acceso al contenido pago se hace por un enlace con código único y largo, difícil de adivinar.

Ningún sistema es totalmente seguro. Si descubrimos un incidente que afecte tus datos, te avisaremos a ti y a las autoridades competentes según lo exija la ley. De tu parte, guarda los enlaces de acceso con cuidado: quien tiene el enlace ve el informe.

10.Cookies

Usamos el mínimo necesario. El sitio graba una cookie funcional llamada "theme", que guarda tu preferencia de tema claro u oscuro por hasta un año — no te identifica.

Para entender cómo se usa el sitio y mejorarlo, usamos Microsoft Clarity, una herramienta de análisis que graba dos cookies (_clck y _clsk) y registra, de forma agregada, clics, desplazamiento y navegación (mapas de calor y grabación de sesión). Configuramos Clarity en el nivel máximo de enmascaramiento: el texto de las páginas y lo que escribes se ocultan en tu navegador antes de cualquier envío. Clarity es un servicio de Microsoft, que actúa como nuestro subprocesador.

También usamos Google Analytics 4 para medir el tráfico del sitio: de dónde vienen los visitantes (búsqueda, redes sociales, anuncios), qué páginas acceden y qué convierte. Graba cookies propias (como _ga y _ga_<id>) que asignan a tu navegador un identificador aleatorio — no usamos esos datos para identificarte personalmente. Google actúa como nuestro subprocesador; los datos pueden usarse para mejorar la medición de nuestros anuncios en Google.

En las páginas institucionales del sitio, usamos dos pixels de publicidad para medir la eficacia de nuestros anuncios y permitir remarketing: el Meta Pixel (Facebook/Instagram), que graba la cookie _fbp, y el LinkedIn Insight Tag, que graba cookies propias de LinkedIn (como li_sugr y UserMatchHistory). Informan a Meta y a LinkedIn que visitaste una página nuestra o realizaste una acción, para que podamos medir conversiones y mostrar anuncios a públicos parecidos. Estas son cookies de terceros y pueden implicar rastreo entre sitios por esas plataformas. Nunca reciben el contenido de tus escaneos, hallazgos o informes.

Estas cookies de análisis y de publicidad se cargan solo en las páginas públicas del sitio — nunca en las páginas de informe ni en el panel de acceso, para que el enlace con tu token de acceso no se comparta con terceros.

Puedes rechazar las cookies de análisis y de publicidad bloqueando cookies en tu navegador (o los dominios clarity.ms, google-analytics.com, googletagmanager.com, facebook.com y licdn.com), activando la señal "Do Not Track"/GPC o usando las preferencias de anuncios de Meta y de LinkedIn — en cualquier caso sin perder el acceso al servicio. El acceso al informe funciona por el código que está en el propio enlace, no por cookie. Donde la ley exija consentimiento previo para estas cookies, esta sección se actualizará y el consentimiento se solicitará antes de activarlas.

11.Menores de edad

Scanfull es un servicio para mayores de 18 años y no está dirigida a niños o adolescentes. No recopilamos datos de menores de forma consciente. Si crees que un menor nos proporcionó datos, escribe a help@scanfull.dev y borraremos lo que se identifique.

12.Tus derechos (todos los países)

Independientemente de dónde vivas, puedes pedirnos que:

• Sepas qué datos tenemos sobre ti y recibas una copia.
• Corrijas datos incompletos o erróneos.
• Borres tus datos, salvo los que la ley nos obliga a guardar (como registros de pago).
• Recibas tus datos en un formato estructurado y de uso común (portabilidad).
• Te opongas a un tratamiento basado en interés legítimo, o pidas que se restrinja.
• Retires un consentimiento que diste, sin afectar lo que se hizo antes.
• Sepas con quién compartimos tus datos y qué salvaguardas usamos en la transferencia internacional.

Para ejercer cualquier derecho, escribe a help@scanfull.dev, de preferencia desde el correo usado en la compra, para que podamos confirmar que la solicitud es tuya. Respondemos en hasta 30 días, o en el plazo menor que la ley de tu país exija; si necesitamos más tiempo, avisamos. No cobramos por esto, salvo en solicitudes manifiestamente repetitivas, cuando la ley lo permita. También puedes reclamar ante la autoridad de protección de datos de tu país.

Las secciones siguientes detallan derechos adicionales previstos en leyes específicas.

13.Unión Europea y Reino Unido (GDPR y UK GDPR)

Si estás en el Espacio Económico Europeo o en el Reino Unido, el tratamiento de tus datos sigue el Reglamento General de Protección de Datos (GDPR) y el UK GDPR. Las bases legales que usamos están en la sección "En qué nos basamos para tratar los datos": ejecución de contrato, interés legítimo, obligación legal y consentimiento (este último solo para marketing).

Además de los derechos generales anteriores, tienes el derecho de acceso, rectificación, supresión ("derecho al olvido"), portabilidad, oposición y restricción del tratamiento, y de no ser sometido a decisiones exclusivamente automatizadas con efectos legales o similares — Scanfull no toma ese tipo de decisión sobre ti. Cuando tratamos datos con base en interés legítimo, puedes oponerte en cualquier momento, y pararemos, salvo que demostremos motivos legítimos que prevalezcan.

Transferencias: tus datos se transfieren a Estados Unidos, amparadas por cláusulas contractuales estándar adoptadas por la Comisión Europea (y por el instrumento equivalente del Reino Unido) con nuestros operadores, más medidas técnicas complementarias. Puedes pedir una copia de las salvaguardas en help@scanfull.dev.

Tienes el derecho de presentar una reclamación ante la autoridad de protección de datos de tu país de residencia, de trabajo o del lugar de la supuesta infracción; en el Reino Unido, ante la Information Commissioner's Office (ICO). Smart Data Invest LLC no está establecida en la UE ni en el Reino Unido; si se designa un representante local, el contacto se publicará en esta página.

14.California (CCPA/CPRA)

Si vives en California, la California Consumer Privacy Act, modificada por la California Privacy Rights Act (CCPA/CPRA), garantiza derechos adicionales. En los últimos 12 meses recopilamos las siguientes categorías de datos personales: identificadores (nombre, correo, teléfono opcional, dirección IP); información comercial (registros de compra); información de actividad en internet (URL enviada, registros técnicos de acceso al sitio); y, cuando proporcionas una sesión de acceso, el contenido que el navegador observa en el área logueada, solo durante el escaneo. Las fuentes son tú mismo, tu sitio y Stripe (datos de la compra). Las finalidades y los destinatarios están en las secciones anteriores.

No vendemos datos personales por dinero. Sin embargo, los pixels de publicidad descritos en la sección "Cookies" (Meta Pixel y LinkedIn Insight Tag), en las páginas institucionales del sitio, pueden configurar "compartir" para publicidad comportamental entre contextos (cross-context behavioral advertising) bajo la CPRA. No usamos ni divulgamos información personal sensible para fines que exijan un derecho de limitación. Puedes rechazar ese compartir en cualquier momento: bloqueando cookies en tu navegador (o los dominios facebook.com y licdn.com), activando una señal de opt-out reconocida (Global Privacy Control / "Do Not Track"), o escribiendo a help@scanfull.dev, que trataremos como solicitud de opt-out de compartir.

Tus derechos: saber qué datos recopilamos, usamos y divulgamos, y a quién; pedir la eliminación; pedir la corrección de datos incorrectos; optar por que no se vendan ni compartan datos (para el compartir vía pixels, usa las opciones del párrafo anterior); y no sufrir discriminación por ejercer estos derechos — no negamos servicio, no cobramos un precio diferente ni ofrecemos una calidad diferente por causa de una solicitud.

Para ejercer los derechos, escribe a help@scanfull.dev. Verificamos la identidad comparando el correo de la solicitud con el registro de la compra o del escaneo; podemos pedir más información si es necesario. Puedes designar un agente autorizado para pedir en tu nombre, con prueba por escrito de la autorización. Respondemos en hasta 45 días, prorrogables por otros 45 cuando la ley lo permita, con aviso.

15.Brasil (LGPD)

Si vives en Brasil, el tratamiento de tus datos sigue la Ley General de Protección de Datos Personales (Ley n.º 13.709/2018). Smart Data Invest LLC es la controladora. El encargado del tratamiento de datos personales (DPO) puede contactarse en help@scanfull.dev.

Las bases legales que usamos son las de la sección "En qué nos basamos para tratar los datos", que corresponden, en la LGPD, a la ejecución de contrato (art. 7.º, V), al interés legítimo (art. 7.º, IX), al cumplimiento de una obligación legal (art. 7.º, II) y al consentimiento (art. 7.º, I), este último solo para marketing.

Además de los derechos generales, puedes pedir, conforme al art. 18 de la LGPD: confirmación de la existencia del tratamiento; acceso; corrección de datos incompletos, inexactos o desactualizados; anonimización, bloqueo o eliminación de datos innecesarios, excesivos o tratados en disconformidad; portabilidad; información sobre el compartir; información sobre la posibilidad de no dar consentimiento y sus consecuencias; y revocación del consentimiento. Respondemos en hasta 15 días para solicitudes de acceso completo, conforme la ley, y en el menor plazo posible para las demás.

Transferencia internacional: tus datos se procesan en Estados Unidos, con base en las hipótesis del art. 33 de la LGPD, en especial cláusulas contractuales estándar con nuestros operadores y la ejecución del contrato que celebraste con nosotros. Puedes presentar una petición ante la Autoridad Nacional de Protección de Datos (ANPD).

16.Demás países

Si vives en otro país, tienes, como mínimo, los derechos listados en la sección "Tus derechos (todos los países)", además de los que la ley local garantice y no puedan dejarse de lado por contrato. Trataremos cualquier solicitud con el mismo cuidado y por el mismo canal: help@scanfull.dev. Si la ley de tu país prevé un plazo, autoridad o procedimiento específico, seguiremos lo que determine.

17.Comunicaciones y marketing

Por defecto, solo enviamos correos transaccionales: el enlace de acceso al informe, el enlace mágico del panel, confirmaciones de pago y respuestas de soporte. Esos correos forman parte del servicio y no dependen de consentimiento.

Las comunicaciones de marketing, por correo o WhatsApp, solo ocurren si las autorizas expresamente, en una opción separada, que viene desmarcada. Puedes revocar esa autorización en cualquier momento, por el enlace de baja en el propio correo o escribiendo a help@scanfull.dev.

18.Cambios en esta política

Podemos actualizar esta política para reflejar cambios en el servicio, en la ley o en nuestros operadores. La fecha en la parte superior indica la versión vigente. Los cambios relevantes se anunciarán en el sitio y, cuando tengamos tu correo de una compra, por correo. Si un cambio exige tu consentimiento, lo pediremos antes de aplicarlo.

19.Contacto y encargado (DPO)

Para cualquier asunto de privacidad, solicitudes de ejercicio de derechos o contacto con el encargado de protección de datos: help@scanfull.dev. Smart Data Invest LLC · 7345 W Sand Lake Rd, STE 210, Orlando, FL 32819, EE. UU.