Política de privacidad

Última actualización: 28 de octubre de 2026

Esta política explica qué datos personales trata CitedIn cuando visitas citedin.io y cuando usas la aplicación de CitedIn, para qué los tratamos, quién nos ayuda a hacerlo y cómo puedes ejercer tus derechos. Si has conectado tu cuenta de Google, el apartado Datos de usuario de Google explica exactamente qué hacemos con ellos.

Quiénes somos

CitedIn (citedin.io) es un servicio que ayuda a que un sitio web se encuentre mejor en Google y en los asistentes de IA. Mide la visibilidad del sitio en la Búsqueda de Google, en AI Overviews y AI Mode de Google, en ChatGPT, Perplexity, Gemini y Copilot, detecta qué hay que corregir y prepara los cambios como pull requests de GitHub o borradores de WordPress que el propietario del sitio revisa y aprueba.

• Responsable: Pablo Bravo Villanueva
• NIF: 12436687N
• Domicilio: Calle Linares 30, 4º D, 47010 Valladolid, España
• Email de contacto: info@viaondo.com
• Delegado de protección de datos: No designado (no es obligatorio según el artículo 37 del RGPD)

CitedIn está en acceso anticipado: las cuentas se crean solo por invitación y todavía no hay planes de pago.

Qué datos tratamos

Si visitas la web

No te pedimos ningún dato para navegar por citedin.io. La web pública solo usa una cookie, ci_lang, que recuerda durante un año el idioma que eliges. Para saber cómo se usa la web, medimos las visitas con Pulse, una herramienta de analítica sin cookies que hemos creado y alojamos nosotros mismos en Cloudflare. Por cada página vista registra su dirección, el sitio del que vienes, tu navegador, sistema operativo, tipo de dispositivo, tamaño de pantalla e idioma, y una ubicación aproximada (país, región y ciudad) obtenida de tu dirección IP, que también se usa para calcular un identificador anónimo de visitante que cambia cada día. No usa cookies, no conserva tu dirección IP y solo consultamos los resultados como estadísticas agregadas. No usamos herramientas de publicidad ni rastreadores de terceros.

Como cualquier servidor web, el nuestro recibe tu dirección IP y los datos técnicos que envía tu navegador para poder mostrarte las páginas. No los usamos para identificarte ni para elaborar perfiles.

Si usas el chequeo gratis o las herramientas gratuitas

Cuando haces el chequeo gratis o usas el generador de llms.txt, tratamos el dominio que escribes y descargamos las páginas públicas de ese sitio (como la portada, el robots.txt y el sitemap) para mostrarte el resultado. Para evitar abusos limitamos el número de chequeos por dirección IP y guardamos con cada chequeo solo un hash truncado y con sal de esa dirección, nunca la dirección en sí. El formulario puede estar protegido frente a bots con Cloudflare Turnstile, que comprueba señales de tu navegador y tu dirección IP sin usar cookies para ello.

Si tienes una cuenta

• Datos de la cuenta: tu dirección de email, tu idioma preferido y los espacios de trabajo a los que perteneces.
• Inicio de sesión: no usamos contraseñas. El acceso se hace a través de Cloudflare Access: escribes tu email, Cloudflare te envía un código de un solo uso y, cuando lo introduces, nos confirma tu dirección. Cloudflare Access usa su propia cookie, CF_Authorization, para ese paso. Después creamos una cookie de sesión, __Host-ci_session, que mantiene la sesión abierta hasta 30 días.
• Sitios que añades: el dominio, su configuración, las preguntas (prompts), palabras clave y competidores que sigues, y el perfil de negocio que obtenemos de las páginas públicas del sitio.
• Contenido de las páginas públicas: rastreamos las páginas públicas de tu sitio, y las de los competidores que indicas, y guardamos copias para auditarlas, planificar cambios y comprobar el resultado.
• Resultados de búsqueda y respuestas de IA: hacemos a buscadores y asistentes de IA las preguntas que sigues y guardamos sus resultados y respuestas para medir si tu sitio aparece o se cita. Esas preguntas tratan sobre tu mercado, no sobre ti.
• Trabajo y aprobaciones: los cambios que preparamos, cuáles apruebas o rechazas y cuándo, y cómo funcionaron después.
• Datos del servicio y de seguridad: un registro de las acciones de tu espacio de trabajo, el recuento de los datos que compramos para cada sitio y registros técnicos. Nuestros registros solo contienen códigos e identificadores: nunca contenido de páginas, respuestas de IA, tokens, claves ni direcciones de email.
• Emails: el resumen semanal y los avisos del servicio que enviamos a tu dirección.
• Mensajes: lo que nos escribes cuando haces una consulta o nos avisas de un problema.

Si conectas otros servicios

Cada conexión es opcional, la haces tú y puedes quitarla cuando quieras en Ajustes → Conexiones.

• Google Search Console (permiso de solo lectura webmasters.readonly, más openid y email para saber qué cuenta de Google has conectado): la lista de propiedades de Search Console a las que tienes acceso y, de la propiedad que eliges, su rendimiento en la búsqueda (consultas, páginas, países, dispositivos, clics, impresiones, CTR y posición media), sus sitemaps y el estado de indexación de sus páginas. El acceso es de solo lectura: CitedIn no puede cambiar nada en tu Search Console.
• Google Analytics (permiso de solo lectura analytics.readonly, solo cuando ofrezcamos esta conexión y solo si la haces): informes de tráfico de la propiedad que eliges, como las visitas que llegan desde buscadores y asistentes de IA, por página de entrada.
• Bing Webmaster Tools (con el inicio de sesión de Microsoft o con una clave de API que pegas): el rendimiento de tu sitio en la búsqueda de Bing y sus datos de rastreo e indexación.
• GitHub (con la GitHub App de CitedIn, que instalas en los repositorios que eliges): solo en esos repositorios, acceso de lectura y escritura a su contenido, a las pull requests y a los archivos de workflows; acceso de lectura a los checks, los estados y los resultados de Actions, y avisos de pushes, pull requests y checks. Lo usamos para leer el código de tu sitio, abrir pull requests con los cambios propuestos, añadir un workflow de comprobaciones si lo aceptas y ver si cada cambio pasa sus comprobaciones y se fusiona. CitedIn trabaja en sus propias ramas y no hace push a tu rama principal.
• WordPress (con una contraseña de aplicación que creas en tu perfil de WordPress): leemos las entradas, páginas y ajustes que necesitamos y creamos o actualizamos borradores. Nunca pulsamos Publicar por ti.
• IndexNow y PageSpeed Insights: cuando uno de tus cambios se publica, avisamos de las direcciones modificadas a los buscadores que participan en IndexNow, y enviamos direcciones públicas de tu sitio a la API de PageSpeed Insights de Google para medir su velocidad. Solo se envían direcciones de páginas públicas.

Las credenciales de estas conexiones (tokens de acceso, claves de API, contraseñas de aplicación) se cifran con AES-256-GCM antes de guardarse. La clave de cifrado se guarda como secreto de la aplicación, fuera de la base de datos. Las credenciales solo se descifran en el momento de llamar al servicio al que pertenecen y nunca se escriben en los registros.

Datos de usuario de Google

• A qué accedemos: a los datos de Google descritos arriba para Search Console y, cuando lo conectes, para Google Analytics, y a la dirección de email de la cuenta de Google que conectas.
• Para qué los usamos: solo para mostrarte en CitedIn el rendimiento en la búsqueda y el estado de indexación de tu propio sitio, y para planificar y verificar los cambios de tu sitio; por ejemplo, para decidir en qué páginas y consultas trabajar y para comprobar si un cambio fue seguido de más impresiones o clics.
• Quién los recibe: no vendemos los datos de usuario de Google ni los transferimos a nadie, salvo cuando hace falta para darte esas funciones (nuestro proveedor de alojamiento los guarda, y los modelos de lenguaje que hay detrás de nuestra pasarela de IA pueden recibir extractos, como las consultas principales de una página, para redactar tu análisis y tu plan), para cumplir la ley o en caso de fusión o adquisición, de la que te avisaríamos antes.
• Lo que nunca hacemos con ellos: no los usamos para publicidad, incluida la de retargeting, personalizada o basada en intereses; no los usamos para evaluar la solvencia ni para conceder préstamos, y no los usamos para desarrollar, mejorar ni entrenar modelos generalistas de inteligencia artificial o de aprendizaje automático.
• Quién puede leerlos: ninguna persona lee tus datos de usuario de Google, salvo con tu consentimiento expreso para datos concretos (por ejemplo, cuando nos pides ayuda con un informe), cuando es necesario por motivos de seguridad, como investigar un abuso o un fallo, para cumplir la ley o cuando se han agregado y anonimizado para operaciones internas.
• Cómo desconectarlos: en Ajustes → Conexiones, elige Desconectar en la conexión de Google; así se revoca el acceso de CitedIn en Google y se borra de nuestra base de datos el token guardado. También puedes retirar el acceso de CitedIn en cualquier momento desde tu cuenta de Google, en myaccount.google.com/permissions.
• Cómo borrarlos: los datos de Google ya importados se conservan en el historial de tu sitio hasta que eliminas el sitio o tu cuenta. Puedes pedirnos que los borremos cuando quieras escribiendo a info@viaondo.com; los borramos en un plazo de 30 días.

Para qué usamos los datos y con qué base jurídica

Cuando la base jurídica es el interés legítimo, puedes oponerte al tratamiento como se explica más abajo.

No tomamos decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos sobre ti o te afecten de forma significativa de modo similar. Nuestra IA redacta borradores; una persona revisa y aprueba cada cambio antes de que llegue a tu sitio, salvo en las categorías de cambios mecánicos que tú decidas aplicar de forma automática.

Datos personales en los sitios que añades

Las páginas públicas de los sitios que añades pueden contener datos personales, como los nombres de los miembros de un equipo. Tratamos ese contenido solo para auditar y mejorar el sitio siguiendo tus instrucciones, y eres responsable de tener derecho a añadir el sitio. Si apareces en una página que CitedIn ha rastreado y quieres saber más, escríbenos a info@viaondo.com.

Cuánto tiempo conservamos los datos

• Cuenta, espacios de trabajo y sitios: mientras exista tu cuenta. Cuando eliminas un sitio, o nos pides que eliminemos tu cuenta, borramos los datos relacionados en un plazo de 30 días.
• Credenciales de las conexiones: hasta que desconectas el servicio; al desconectarlo se borran de inmediato.
• Copias de páginas, resultados de búsqueda, respuestas de IA y datos de búsqueda importados: como parte del historial del sitio mientras el sitio esté en tu cuenta.
• Chequeo gratis: el resultado y el hash de la dirección, el tiempo necesario para mostrar el resultado y limitar abusos, y nunca más de 12 meses.
• Registros técnicos: unos pocos días.
• Mensajes: el tiempo necesario para atenderlos.
• Cookies: ci_lang, un año; __Host-ci_session, hasta 30 días, que se renuevan mientras usas la aplicación.

Cuando la ley nos obliga a conservar datos durante más tiempo, o mientras puedan exigirse responsabilidades derivadas del tratamiento, los conservamos bloqueados y solo los usamos para ese fin.

A quién comunicamos los datos

No vendemos tus datos ni los cedemos a terceros con fines comerciales. Solo los compartimos con los proveedores que nos ayudan a prestar el servicio, con contrato y solo para ese fin, y con las autoridades y los tribunales cuando existe una obligación legal.

• Cloudflare, Inc.: ejecuta la aplicación y guarda la base de datos y los archivos (Workers, D1, R2, Queues y Workflows), gestiona el inicio de sesión (Cloudflare Access), envía nuestros emails (Email Service) y protege los formularios frente a bots (Turnstile).
• treg.to: el servicio de datos que usamos para obtener resultados de búsqueda, datos de palabras clave y las respuestas de los asistentes de IA; dirige cada petición al proveedor de datos que hay detrás. Recibe las preguntas, palabras clave y dominios de cada petición, marcados solo con un identificador interno del sitio, nunca tu email ni tus credenciales.
• Nuestra pasarela de IA: la gestiona el propio responsable y dirige las peticiones a los modelos de lenguaje que usamos para analizar páginas y redactar borradores. Estos reciben contenido de páginas, extractos de datos de búsqueda y nuestras instrucciones, nunca tu email ni tus credenciales.
• Google, Microsoft (Bing), GitHub y el alojamiento de tu WordPress: solo cuando los conectas, para leer o escribir los datos descritos arriba. Tratan los datos según sus propios términos y políticas de privacidad; en lo que respecta a tu cuenta de Google, Google actúa como responsable independiente según su política de privacidad.
• IndexNow y PageSpeed Insights de Google: solo reciben direcciones de páginas públicas.

Transferencias internacionales

Algunos de nuestros proveedores tienen su sede en Estados Unidos o funcionan en una red mundial. Cloudflare ejecuta la aplicación en el punto más cercano a cada usuario, por lo que los datos pueden tratarse fuera del Espacio Económico Europeo al amparo del contrato de tratamiento de datos de Cloudflare y de sus cláusulas contractuales tipo. Google, Microsoft y GitHub están adheridos al Marco de Privacidad de Datos UE-EE. UU. Siempre que un proveedor trate datos fuera del Espacio Económico Europeo, solo lo permitimos con las garantías que exige el RGPD, como una decisión de adecuación de la Comisión Europea o cláusulas contractuales tipo.

Tus derechos

Puedes ejercer en cualquier momento tus derechos de:

• acceso, para saber qué datos tuyos tratamos;
• rectificación, para corregir datos inexactos o incompletos;
• supresión, para pedir que borremos tus datos;
• oposición, para que dejemos de tratarlos cuando la base es el interés legítimo;
• limitación, para que los conservemos sin usarlos mientras se resuelve una reclamación;
• portabilidad, para recibir los datos que nos diste en un formato estructurado y de uso común.

Para ejercerlos, escríbenos a info@viaondo.com e indica qué derecho quieres ejercer. Si tenemos dudas razonables sobre tu identidad, podemos pedirte información adicional para confirmarla. Te responderemos en el plazo de un mes, que puede ampliarse dos meses más si la solicitud es compleja; en ese caso te avisaremos.

Si crees que no hemos atendido correctamente tu solicitud, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

Seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

• cifrado TLS en todas las conexiones;
• aislamiento entre espacios de trabajo: cada petición comprueba que perteneces al espacio de trabajo cuyos datos solicita;
• credenciales de las conexiones cifradas con AES-256-GCM, con la clave guardada fuera de la base de datos;
• acceso con códigos de un solo uso enviados por email, así que no hay contraseñas que robar;
• archivos en almacenamiento privado, sin direcciones públicas;
• registros técnicos sin contenido de páginas, respuestas de IA, tokens, claves ni direcciones de email;
• la aprobación de una persona antes de que cualquier cambio llegue a tu sitio.

Menores

CitedIn es un servicio para profesionales y no se dirige a menores. Las cuentas son solo para adultos.

Cambios en esta política

Podemos actualizar esta política cuando cambien el servicio o la normativa. La fecha de la última actualización aparece al principio de esta página. Si el cambio es relevante, lo avisaremos por email a los titulares de cuentas antes de que se aplique.