Seguridad y datos
Última actualización: 5 de noviembre de 2026
Esta página es para quien tiene que aprobar Goppa en una agencia o una empresa: dónde funciona el servicio, dónde viven tus datos, quién los procesa, cuánto tiempo los guardamos y cómo eliminarlos. Dice solo lo que es cierto hoy, y dice lo que no tenemos. Los términos legales están en la Política de privacidad.
1. Dónde funciona y dónde viven los datos
- La aplicación funciona como una función serverless en Vercel, en la región de São Paulo (gru1).
- La base de datos y el inicio de sesión funcionan en Supabase, en São Paulo, Brasil (región de AWS sa-east-1). Eso queda fuera del Espacio Económico Europeo.
- El tráfico entre tu navegador, el plugin y Goppa va por HTTPS.
2. Qué guardamos y durante cuánto tiempo
La lista completa está en la sección 3 de la Política de privacidad. Lo principal:
| Dato | Se conserva |
|---|---|
| Dirección de correo e identificador de la cuenta | Hasta que borres la cuenta |
| Sitios que añades, sus informes y mediciones de visibilidad en IA | Hasta que los borres o borres la cuenta; los informes del plan gratuito pueden caducar antes |
| Actividad de agentes que informa el plugin de WordPress | Hasta que borres el sitio o la cuenta |
| Comprobación gratuita del sitio web: el sitio, tu correo y el resultado | 12 meses, o hasta que nos pidas borrarlo. Una cuenta que creamos para ti y a la que nunca entras ni pagas se borra a los 30 días |
| Contactos del widget de auditoría de una agencia | Hasta que la agencia borre el contacto o su cuenta. La agencia es la responsable de estos datos; nosotros los tratamos por cuenta de la agencia |
| Solicitudes para reservar una llamada, recibir un informe de ciudad o que te presenten a una agencia | 12 meses |
| Llamadas de tu asistente de IA a tu cuenta (cuenta, asistente, herramienta, tiempo y resultado; nunca tu conversación, los argumentos ni tus tokens) | 180 días |
| Datos de facturación | En Paddle, como exigen esta y la ley fiscal. Nunca vemos ni guardamos números de tarjeta |
3. Quién procesa los datos
Estos son los servicios a los que llaman nuestros servidores. A cada uno le enviamos solo lo que la tarea necesita, y no vendemos datos.
| Servicio | Qué hace para Goppa |
|---|---|
| Vercel | Ejecuta la aplicación y cuenta las visitas a las páginas de forma agregada, sin cookies y sin identificar a nadie |
| Supabase | La base de datos y el inicio de sesión |
| Paddle | Pagos de suscripciones y cumplimiento fiscal. Paddle es el merchant of record y el vendedor que figura en tu factura |
| Resend | Envía nuestros correos: resultados de comprobaciones, enlaces de acceso e informes. Recibe la dirección del destinatario y el contenido del correo |
| OpenAI | Responde las preguntas de compra que hacemos a ChatGPT para la medición de visibilidad y escribe texto para ti (correcciones de SEO, guías de categoría, respuestas a tus mensajes). Recibe la pregunta, tu dominio y los campos públicos de la página sobre la que trata el texto, nunca datos de clientes |
| DataForSEO | Recoge las respuestas de ChatGPT, Google AI Overview, Google AI Mode, Gemini y Perplexity para la medición y, en los planes con SEO, tus posiciones en Google, la investigación de palabras clave, los competidores y los enlaces. Recibe tu dominio, tu país y las preguntas o palabras clave, nunca datos de clientes |
| Meta (WhatsApp Business Platform) | Transporta los mensajes de WhatsApp entre una persona y nosotros, solo cuando esa persona nos responde por ahí |
| Microsoft Clarity | Registra clics y desplazamientos en nuestro sitio web, con lo que escribes enmascarado. Solo si lo aceptas en nuestro aviso |
Tres servicios más empiezan solo cuando tú mismo los conectas: Google Search Console (solo lectura), Bing Webmaster Tools y Cloudflare. Un asistente de IA que conectes (por ejemplo ChatGPT o Claude) no es nuestro encargado del tratamiento: gestiona lo que le pides según tu propio acuerdo con su proveedor.
4. Cómo se guardan los secretos
- Credenciales que nos das: el acceso a Google Search Console, la clave de Bing y el token de API de Cloudflare se guardan cifrados. La clave que los abre está en el entorno del servidor, no en la base de datos. Si esa clave falta, no guardamos la credencial en absoluto, en lugar de guardarla en texto claro.
- Tokens que emitimos: los tokens de acceso de tus asistentes de IA, las claves de informes y las claves de instalación de una agencia son aleatorios y se guardan solo como hash, así que no podemos volver a leerlos. Una clave se muestra una vez, cuando la creas.
- La conexión de un sitio WordPress usa un código de un solo uso que dura 10 minutos. El token del sitio nunca viaja en una dirección web.
- El inicio de sesión lo gestiona Supabase Auth.
- Esta página describe cómo se guardan los secretos y nunca contiene ninguno.
5. Cómo borrar un sitio o tu cuenta
- Un sitio: en Goppa, ve a Ajustes y usa Remove site, y escribe el dominio del sitio para confirmar. Elimina el sitio con sus análisis, datos de SEO, datos del plugin y credenciales guardadas, y desconecta Search Console en Google cuando ningún otro sitio tuyo lo usa. Las mediciones de IA de ese sitio permanecen en tu cuenta, donde cuentan para las mediciones de tu plan, y sus enlaces públicos de informe dejan de funcionar.
- Tu cuenta: en Ajustes, usa Delete account y escribe tu correo. Elimina tus sitios, informes, mediciones, actividad de agentes, datos de SEO de Google, apps de IA conectadas y tu acceso. Tu historial de facturación permanece en Paddle, como exige la ley fiscal. Si tienes un plan de pago, cancélalo primero; si otras personas comparten la cuenta, escribe a privacy@trygoppa.com y la cerraremos.
- Para cualquier otra cosa, como los datos de la comprobación gratuita, escribe a privacy@trygoppa.com. Respondemos en un plazo de 30 días.
6. A qué pueden acceder tus asistentes de IA
Puedes conectar tu cuenta de Goppa a un asistente de IA compatible con MCP. Es opcional, y solo empieza cuando inicias sesión en Goppa desde el asistente y apruebas el acceso. Cómo funciona.
- El acceso se llama
goppa.ready cubre solo los datos de Goppa de tu propia organización. No puede llegar a ninguna otra cuenta. - El asistente puede leer tu plan, sitios, mediciones de visibilidad en IA, comprobaciones de sitio, datos de SEO de Google y próximos pasos.
- Cuatro acciones guardan algo en tu cuenta de Goppa: ejecutar una comprobación de sitio, añadir un sitio dentro de tu plan, iniciar una medición de IA después de que aceptes sus preguntas y registrar qué correcciones de SEO aprobadas se aplicaron. La conexión nunca cambia tu sitio web.
- No puede cambiar tus ajustes, aprobar correcciones, eliminar nada ni acceder a ninguna otra parte de Goppa.
- El acceso dura una hora y se renueva hasta 60 días mientras se usa. Puedes desconectar en cualquier momento en Ajustes, en Connected AI apps, y los tokens dejan de funcionar al instante.
7. Lo que no tenemos
No tenemos un informe SOC 2 ni un certificado ISO 27001, y no ofrecemos inicio de sesión único (SSO).
Para informar de un problema de seguridad, escribe a contact@trygoppa.com con la dirección y los pasos para reproducirlo. Nuestro security.txt tiene el mismo contacto. No tenemos un programa de recompensas por errores. Para dudas sobre tus datos, escribe a privacy@trygoppa.com.
← Goppa · Política de privacidad · Términos del servicio · Política de reembolso