Seguridad

Resumen

Lo esencial sobre cómo cuidamos sus datos:

• Recolectamos solo los datos necesarios para prestar el servicio.
• Los datos y prompts que usted carga o monitorea son suyos. Los procesamos únicamente para prestarle el servicio.
• No vendemos sus datos.
• Los datos se cifran en reposo y en tránsito.
• El acceso interno está restringido a personal autorizado, y registramos quién accede y cuándo.
• Alojamos en Supabase y Vercel, proveedores con certificación SOC 2 Type 2 que ofrecen acuerdos de procesamiento de datos (DPA) para clientes sujetos a GDPR.
• Puede pedirnos acceso, corrección, eliminación o exportación de sus datos. Al cancelar, eliminamos sus datos dentro de los 30 días.

Alojamiento y región

La base de datos y la autenticación están en Supabase, región us-east-2 (Ohio, sobre AWS). La aplicación corre en Vercel, con funciones fijadas en la región cle1 (Cleveland), en la misma zona que la base de datos. Los datos se almacenan y procesan en Estados Unidos. El listado completo de proveedores está en Subprocesadores.

Cifrado

Todo el tráfico entre su navegador y Lumen viaja cifrado en tránsito (HTTPS/TLS). Los datos se almacenan cifrados y aplicamos cifrado conforme a estándares aceptados de la industria, técnicas de cifrado robustas y protocolos de seguridad vigentes.

Las credenciales de las integraciones (tokens OAuth de Google Search Console y GA4, y la clave de API de Bing Webmaster) se cifran a nivel de aplicación con AES-256-GCM antes de guardarse en la base de datos.

Autenticación y acceso

• El acceso a Lumen se hace con Google OAuth 2.0 o con un enlace de acceso (magic link) enviado por correo electrónico. Lumen no almacena contraseñas.
• Los datos de cada cuenta y de cada cliente de una agencia están separados: solo acceden los miembros autorizados de esa cuenta, con reglas de acceso a nivel de fila en la base de datos.
• Las agencias controlan qué miembros del equipo acceden a cada cliente.

Integraciones y permisos

Lumen puede usarse solo con dominio, marca, competidores y prompts: no es obligatorio conectar ninguna cuenta.

• Google Search Console y Google Analytics 4 se conectan por OAuth con permisos de solo lectura (webmasters.readonly y analytics.readonly). Lumen no puede modificar su cuenta de Search Console ni de Analytics.
• Bing Webmaster e IndexNow son opcionales y, a pedido suyo, permiten notificar URLs a buscadores.
• Cómo revocar: desde Integraciones puede desconectar cada servicio, lo que elimina la conexión guardada en Lumen. Para las integraciones de Google también puede retirar el acceso desde los permisos de su cuenta de Google.

Uso de los datos

Los datos y prompts de los clientes son de su propiedad. No los usamos para entrenar ningún modelo de IA. Los textos de los prompts se envían a los motores de IA solo para obtener sus respuestas; el tratamiento por cada proveedor se rige por sus propios términos (ver Subprocesadores). Podemos usar los prompts y los resultados de ejecución de forma agregada y anonimizada para calcular tendencias de mercado, elaborar estudios y entender cómo se comportan los motores de IA. Esas estadísticas y estudios no identifican a ninguna persona, cuenta, agencia ni marca cliente. No se usan para entrenar modelos.

Retención y borrado

Mantenemos sus datos mientras su cuenta esté activa. Al cancelar la cuenta, los datos y prompts se eliminan dentro de 30 días, salvo obligación legal de conservarlos.

Manejo de incidentes

Si detectamos un incidente de seguridad que afecte datos de clientes, el equipo de Lumen lo investiga y lo contiene, y revoca las credenciales o accesos comprometidos. Avisamos por correo a los clientes afectados sin demora indebida y, a más tardar, dentro de las 72 horas desde que tomamos conocimiento, indicando qué ocurrió, qué datos están afectados, qué medidas tomamos y un contacto. Colaboramos con la agencia para que pueda notificar a sus clientes y a las autoridades cuando corresponda.

Acceso del equipo de Lumen a los datos

Solo personas autorizadas del equipo de Lumen pueden acceder a datos de clientes, y únicamente para soporte, mantenimiento y seguridad del servicio. Cada acceso queda registrado (quién y cuándo). Las cuentas del equipo en los servicios que alojan los datos usan autenticación de dos factores.

Contacto de seguridad

Para consultas de seguridad o para reportar una vulnerabilidad, escriba a contact@getlumen.lat.