Política de privacidad

1. Quiénes somos

QA Spider (“nosotros”) presta servicios automatizados de pruebas de software para aplicaciones web. Esta política abarca el sitio web de QA Spider y el panel de QA Spider. Para cualquier pregunta de privacidad, o para ejercer un derecho descrito a continuación, escribe a [email protected].

2. Qué recopilamos

Recopilamos solo lo que el servicio necesita para funcionar. En concreto:

• Datos de la cuenta: tu nombre, tu dirección de correo y una contraseña con hash (nunca guardamos tu contraseña en forma legible). Si inicias sesión con Google o GitHub, recibimos tu nombre, correo y avatar de ese proveedor.
• Datos del espacio de trabajo: el nombre de tu organización, los miembros del equipo y sus roles, y las invitaciones que envías.
• Configuración del proyecto: las URL de las aplicaciones que nos pides probar, los entornos que defines y las credenciales de cuentas de prueba que decidas guardar para que nuestras pruebas puedan iniciar sesión.
• Credenciales de integración: los tokens de API o URL de webhook que proporcionas para conectar un tracker de bugs o una herramienta de chat.
• Acceso a Google Search Console: solo si decides conectarlo. Un token de acceso de solo lectura a tu cuenta de Google (almacenado cifrado), la dirección de correo de esa cuenta y la propiedad de Search Console que eliges. Entonces leemos el rendimiento de búsqueda de esa propiedad (consultas, páginas, clics, impresiones y posición media), cuáles de sus páginas ha indexado Google y qué sitemaps se enviaron para ella, para mostrártelo en tu panel. También leemos los títulos, encabezados, texto y enlaces de hasta 30 de tus propias páginas públicas, para sugerir mejoras y enlaces internos. En la sección “Por qué no se indexan las páginas” de Boost SEO también comprobamos hasta unas 100 direcciones de tu propio sitemap y enlaces internos (su estado HTTP, redirecciones, etiquetas noindex y etiqueta canonical) y leemos tu robots.txt; son archivos y páginas públicos de tu propio sitio web. Cuando pulsas “Comprobar con Google”, consultamos la Inspección de URL de Google sobre hasta 25 de esas direcciones a la vez y te mostramos sus respuestas. No conservamos una copia de nada de eso: se obtiene cuando abres una página o pulsas un botón y se mantiene solo en memoria (unos minutos, hasta una hora para la comprobación de tus propias páginas y hasta 24 horas para el estado de indexación que informa Google), y un reinicio del servidor lo borra. Los resultados no se pasan a ningún otro servicio. La única excepción es Boost SEO: cuando pulsas “Lo hice” en una sugerencia, guardamos los clics, impresiones y posición media de esa página (y la consulta de búsqueda, si la sugerencia trata de una) junto con las fechas que abarcan, para poder mostrarte el cambio después.
• Ideas de temas, briefs y envíos a Bing y Yandex de Boost SEO: solo si los usas. Conservamos las ideas de palabras clave devueltas para tu sitio, cuándo se hizo cada consulta (que además cuenta para tu cupo mensual) y los briefs de contenido que pides, hasta que nos pidas eliminarlos o cierres tu cuenta. Nada de esto son datos de Search Console: las palabras clave salen de las palabras de tus propias páginas públicas y de un servicio de datos de palabras clave. La clave para los envíos a Bing y Yandex no se almacena; se calcula a partir de la dirección de tu sitio cada vez que se necesita.
• Auditoría semanal y vigilancia diaria del sitio: solo en los planes que las incluyen y solo si las activas (la vigilancia diaria sigue el sitio de la auditoría semanal, o tu última auditoría). Conservamos la dirección del sitio, cuándo se comprobó por última vez y el resultado de la última comprobación (si la página de inicio respondió, si está cerrada a Google, cuándo caduca su certificado), para poder enviarte un correo cuando algo cambie. Cada comprobación diaria son un puñado de peticiones a la página de inicio y al robots.txt públicos de tu sitio.
• Resultados de las pruebas: resultados de las ejecuciones, tiempos, resultados por paso, salida de errores y capturas de pantalla de las páginas que probamos, además de los informes de bug generados a partir de ellos.
• Datos de uso y facturación: tu plan, tu saldo de tokens y un registro de eventos de consumo (qué ejecución o generación gastó qué). Si pagas Solo o Pro, también conservamos los ids de cliente y de suscripción de Stripe de tu espacio de trabajo y el estado de la suscripción (activa, vencida o que se cancela en una fecha). Nunca vemos ni guardamos el número de tu tarjeta: lo introduces en la propia página de pago de Stripe.
• Envíos de contacto: el nombre, el correo y el mensaje que envías por nuestro formulario de contacto.
• Solicitudes de análisis: si nos pides analizar tu propio sitio desde nuestra página de inicio, la dirección que nos das y el sitio por el que preguntaste, para poder enviarte el informe y responderte si contestas. Consulta la sección 6.
• Herramientas gratuitas: la dirección que escribes en una de las comprobaciones gratuitas de /tools. Leemos las páginas públicas, el robots.txt, el sitemap, el llms.txt o los registros DNS de ese sitio para responder y te mostramos el resultado. No conservamos nada: la dirección y el resultado no se almacenan, y tu dirección IP se mantiene solo en memoria, hasta una hora, para limitar cuántas comprobaciones puede ejecutar una conexión. La comprobación de datos estructurados pasa la dirección de la página al validador público de Schema.org (validator.schema.org), que lee la página por sí mismo.
• Logs del servidor: logs técnicos estándar, incluidos la dirección IP y el user agent, conservados por seguridad y depuración.
• Analítica del sitio web: qué páginas se ven y en qué enlaces se hace clic, para saber qué le resulta útil a la gente. Donde se aplica la ley de consentimiento, se mide sin cookies y sin ningún identificador, de modo que cada visita se cuenta por separado; en otros lugares se establece una cookie para poder reconocer una visita recurrente. En ese caso, una vez que has iniciado sesión, PostHog también vincula estos eventos con el id interno de tu cuenta (nunca tu correo ni tu nombre), para ver qué pasos del producto se usan. Consulta la sección 11.

3. Lo que no hacemos

• No vendemos tus datos personales, y nunca lo hemos hecho.
• No elaboramos perfiles publicitarios tuyos y no usamos publicidad personalizada ni remarketing. Donde la ley de consentimiento no exige otra cosa, sí medimos si un clic en un anuncio llevó a un registro, para saber qué publicidad merece la pena pagar.
• No ponemos ningún script de analítica ni de seguimiento en los informes de auditoría que enviamos a empresas.
• No usamos los datos de tu aplicación ni los resultados de las pruebas para entrenar modelos de aprendizaje automático.
• No vendemos, compartimos ni usamos con fines publicitarios los datos de Google Search Console que conectas, y no los enviamos a ningún modelo de AI, servicio de datos de palabras clave, buscador ni otro tercero, ni los usamos para entrenar uno. Solo se muestran a ti y a tu equipo en tu propio panel. Las consultas de palabras clave, los briefs de contenido y los envíos a Bing y Yandex descritos en la sección 7 usan solo el texto público de tu propio sitio web, una palabra clave que eliges y direcciones de página de tu propio sitemap o que escribes tú; nada de ello procede de Search Console. El uso y la transferencia por parte de QA Spider de la información recibida de las API de Google se ajusta a la Política de datos de usuario de los servicios de API de Google, incluidos sus requisitos de Uso limitado.
• No leemos tu código fuente a menos que conectes tú mismo un repositorio. Si lo haces, el acceso es de solo lectura, limitado a los repositorios que selecciones, revocable por ti en cualquier momento en GitHub, y nunca almacenamos tu código: los archivos se leen en el momento de una consulta y se descartan.

4. Por qué lo tratamos

Para prestar el servicio al que te registraste (ejecutar pruebas, informar de resultados, registrar bugs en tu tracker, enviar alertas): es la ejecución de un contrato. Para proteger las cuentas, evitar abusos y depurar fallos: nuestro interés legítimo. Para enviarte los correos transaccionales de los que depende el servicio, como los códigos de inicio de sesión y las notificaciones de ejecuciones: ejecución de un contrato. Cuando nos basemos en el consentimiento, como en el correo de marketing opcional, puedes retirarlo en cualquier momento.

5. Credenciales de cuentas de prueba: léelo con atención

Si guardas credenciales para que nuestras pruebas puedan iniciar sesión en tu aplicación, usa una cuenta de prueba dedicada con los permisos mínimos necesarios, en un entorno que no sea de producción siempre que sea posible. Nunca guardes una cuenta real de cliente ni de administrador.

Los tokens de integración y las credenciales de cuentas de prueba se cifran en reposo con AES-256-GCM. Si nuestro servidor no puede cifrarlos, se niega a guardarlos en lugar de conservarlos en forma legible. Aun así, trata cualquier credencial que nos des como una que no te importaría rotar, y rótala si dejas de usar QA Spider.

6. Informes de auditoría: los que pides y los que enviamos sin que los pidan

Hay dos maneras de que exista uno de nuestros informes, y no son lo mismo.

Si lo pediste: nos diste una URL y una dirección de correo en nuestra página de inicio, leímos ese sitio y te enviamos el informe. Conservamos tu dirección para enviártelo, para que puedas preguntarnos por él y para eliminarla si lo pides. No te añadimos a ninguna lista de correo y no enviamos nada más a menos que nos escribas primero. Los informes solicitados de este modo se leen por defecto con poca profundidad; solo se hace una pasada más profunda si pulsas el botón del informe que la pide.

Si no lo pediste: a veces leemos las páginas públicamente accesibles de una empresa con la que nos gustaría trabajar y le enviamos un informe de lo que encontramos. Lo hacemos antes de que exista ninguna relación, así que conviene exponer con claridad qué implica.

Lo que leemos es lo que puede leer cualquiera con un navegador: páginas enlazadas desde tu sitemap, obtenidas una vez cada una, respetando robots.txt, sin cargar tus sistemas. No iniciamos sesión a menos que nos des una cuenta de prueba y, si lo haces, la pasada lee páginas y no envía ningún formulario salvo el de inicio de sesión. El informe se sirve desde un enlace no listado, se excluye de los buscadores y puede retirarse si lo pides.

Cada enlace de informe registra cuándo se abre, junto con la dirección IP, la ciudad y el país derivados de ella y el navegador. En un informe que enviamos sin que lo pidieran, lo usamos para juzgar si se leyó y si se reenvió, que es la única forma de saber si un seguimiento es bienvenido; ese tratamiento se basa en nuestro interés legítimo en la prospección entre empresas. En un informe que pediste, existe el mismo registro pero no nos hace ese favor: está ahí porque el enlace es público para cualquiera que lo tenga y querríamos saber si alguien lo estuviera difundiendo. Las direcciones y los datos del navegador se eliminan a los 90 días, y después solo queda un recuento de aperturas.

Si prefieres que no conservemos nada de esto, escribe a [email protected] y eliminaremos el informe, el enlace y sus registros de apertura. También dejaremos de contactarte, y no necesitamos un motivo.

7. Dónde residen tus datos y quién más los trata

La aplicación y su base de datos están alojadas en Render, en la región de la UE (Fráncfort), en un disco persistente cifrado. Usamos un conjunto reducido de subencargados, cada uno con una finalidad claramente delimitada:

• Render: alojamiento de la aplicación y almacenamiento de la base de datos (UE).
• Anthropic: el modelo de AI que redacta casos de prueba, documentos de QA e informes de bug. Recibe el prompt y el contexto del producto necesarios para ese artefacto. En Boost SEO, cuando pulsas “Redactar un brief”, recibe la palabra clave que elegiste, sus cifras de búsqueda y los títulos, encabezados y descripciones de hasta doce de tus páginas públicas, y nada de Search Console.
• OpenAI: un proveedor alternativo de modelos de AI, usado en lugar de Anthropic cuando nuestro servidor está configurado con él para una función. Recibe el mismo tipo de prompt que recibiría Anthropic para esa función (para un brief de Boost SEO, solo lo descrito arriba) y nunca datos de Search Console.
• DataForSEO: un servicio de datos de palabras clave, usado solo cuando pulsas “Buscar temas” en Boost SEO. Recibe hasta diez frases cortas tomadas de los títulos, encabezados y descripciones de tus propias páginas públicas, un código de país e idioma y nuestras credenciales de cuenta. No recibe datos personales ni nada de Search Console.
• IndexNow (Bing, Yandex, Naver, Seznam, Yep y otros buscadores participantes): solo cuando pulsas un botón de envío en la sección “Bing y Yandex” de Boost SEO. Enviamos el nombre de host de tu sitio, tu clave de IndexNow, la dirección de tu archivo de clave y hasta 100 direcciones de página de tu propio sitemap público o que escribiste tú. Los buscadores participantes comparten entre sí lo que reciben. Google no participa. No se envían datos personales ni nada de Search Console.
• Stripe: procesamiento de pagos de los planes Solo y Pro. Recoge los datos de tu tarjeta en su propia página de pago y los conserva; nunca recibimos ni guardamos números de tarjeta. Le enviamos tu dirección de correo (para rellenar el pago y para los recibos), el id de tu espacio de trabajo y el plan que elegiste, y solo conservamos los ids de cliente y de suscripción de Stripe y el estado de la suscripción que nos devuelve.
• Resend: entrega del correo transaccional (códigos de inicio de sesión, notificaciones, respuestas de contacto).
• GitHub Actions: ejecuta tus pruebas y nos devuelve el resultado.
• Firecrawl: obtiene y mapea las páginas públicas de un sitio que nos pides analizar.
• Browserbase: proporciona el navegador alojado que se usa para la grabación opcional de pruebas en vivo. Solo se usa si esa función está activada para tu espacio de trabajo.
• Umami: cuenta las visitas a nuestro sitio web. No establece cookies y no guarda nada en tu dispositivo; la unicidad viene de un hash calculado en sus servidores a partir de una sal que cambia a diario.
• Google Analytics: mide las visitas a nuestro sitio web y panel. Las direcciones IP se truncan. El almacenamiento está desactivado donde se aplica la ley de consentimiento y activado en otros lugares.
• PostHog: analítica de producto y, solo con tu acuerdo, reproducción de sesiones de nuestro propio sitio web. Funciona sin almacenamiento hasta que aceptas.
• GitHub: si conectas un repositorio, leemos los archivos necesarios para responder una pregunta sobre una prueba que falla. Solo lectura, y nosotros no almacenamos nada.
• Google y GitHub: proveedores de identidad, solo si eliges iniciar sesión con ellos.
• Google Search Console: solo si lo conectas. Llamamos a la API de Search Console con tu permiso de solo lectura para leer el rendimiento de búsqueda, el estado de indexación y los sitemaps enviados de la propiedad que elijas. Nada de lo leído de Search Console se pasa a ningún otro subencargado de esta lista. Puedes revocar el acceso en cualquier momento (consulta la sección 8).

8. Cuánto tiempo lo conservamos

Los datos de la cuenta y del espacio de trabajo se conservan mientras exista tu cuenta. Los resultados de las pruebas, las capturas de pantalla y los informes de bug generados se conservan para que tu historial y tus métricas sigan teniendo sentido; puedes eliminar ejecuciones, bugs y proyectos individuales en cualquier momento, y la eliminación es inmediata. Los mensajes del formulario de contacto se conservan mientras los necesitemos para responderte. Los logs del servidor se conservan durante un periodo operativo breve. Cuando cierras tu cuenta eliminamos los datos de tu espacio de trabajo, conservando solo lo que debemos por razones legales o contables. Si conectaste Google Search Console, conservamos el token de acceso cifrado, el correo de tu cuenta de Google, la propiedad elegida y los registros de antes y después de Boost SEO que guardaste hasta que pulses Desconectar en la pestaña Google de Boost SEO (que los elimina todos de inmediato) o cierres tu cuenta. Las ideas de palabras clave, los registros de consultas y los briefs de contenido creados en Boost SEO se conservan hasta que nos pidas eliminarlos o cierres tu cuenta. También puedes revocar el acceso desde tu cuenta de Google en cualquier momento en Seguridad, luego Acceso de terceros, y cualquier token que aún conservemos dejará de funcionar.

9. Tus derechos

Puedes acceder a tus datos, corregirlos, exportarlos o eliminarlos. Gran parte de esto es de autoservicio en el panel: puedes exportar documentos generados, eliminar bugs, ejecuciones y proyectos, y gestionar a los miembros del equipo. Para cualquier otra cosa (una exportación completa, la eliminación de la cuenta, una oposición al tratamiento o una reclamación), escribe a [email protected] y responderemos en un plazo de 30 días. Si estás en el EEE o en el Reino Unido, también tienes derecho a presentar una reclamación ante tu autoridad local de protección de datos.

10. Seguridad

El acceso al entorno de producción está restringido a las personas que lo operan. El tráfico se sirve por HTTPS. Los tokens de integración se cifran en reposo. Las acciones de cara al exterior (registrar un ticket en tu tracker, publicar en tu chat, ejecutar contra un entorno con aspecto de producción) requieren aprobación explícita en el producto en lugar de ocurrir en silencio. Ningún sistema es perfectamente seguro; si tenemos conocimiento de una brecha que afecte a tus datos, te lo notificaremos sin demora indebida.

11. Cookies

La única cookie que establecemos es estrictamente necesaria y existe porque el sitio no puede funcionar sin ella: una cookie de sesión que mantiene tu sesión iniciada. Tu preferencia de tema claro u oscuro se guarda en el almacenamiento local de tu navegador y no en una cookie, así que nunca nos llega.

Lo que guarda nuestra analítica depende de dónde estés. Donde se aplica la ley de consentimiento (la UE, el EEE, el Reino Unido y Suiza), Google Analytics y PostHog funcionan con el almacenamiento desactivado: contamos que ocurrió una visita y qué páginas se leyeron, no se escribe nada en tu dispositivo y nada conecta esta visita con la siguiente. En otros lugares establecen una cookie, que nos permite reconocer una visita recurrente y saber si un clic en un anuncio llevó a un registro.

Umami, que es nuestro contador principal, no establece ninguna cookie en ningún lugar y no necesita permiso. Por eso el sitio no te pone un muro de cookies delante.

La reproducción de sesiones de nuestro propio sitio web (una grabación de cómo se comportó la página para ti) solo se activa si aceptas cuando se te pregunta, y rechazar no te cuesta nada: igualmente se te cuenta.

No usamos publicidad personalizada ni remarketing, y no elaboramos perfiles de visitantes.

12. Menores

QA Spider es una herramienta de negocio y no está dirigida a menores de 16 años. No recopilamos sus datos a sabiendas.

13. Cambios

Si modificamos esta política de forma sustancial, actualizaremos la fecha de arriba y, para los cambios que afecten a cómo tratamos tus datos, avisaremos por correo a los propietarios de cuentas antes de que el cambio entre en vigor.