Por dónde viajan tus datos

Esta página no es la política de privacidad. La política de privacidad está en /privacidad y es el documento con valor legal: si algo de aquí no coincidiera con ella, manda ella. Esto es lo mismo contado en cristiano, porque el artículo 12.1 del Reglamento General de Protección de Datos (RGPD) nos pide informarte en forma concisa, transparente e inteligible, y en lenguaje claro y sencillo. Nos lo tomamos al pie de la letra.

Aquí te contamos cuatro cosas, sin adornos:

1. Qué hace la inteligencia artificial con tus datos, y qué no hace.
2. Quién los toca aparte de nosotros, con nombre y apellidos de empresa, y si en algún momento salen de Europa.
3. Cuánto guardamos cada cosa, separado por tipo de dato. Nada de un "el tiempo necesario" que no significa nada.
4. Qué puedes pedirnos y por dónde.

Quién es "nosotros": JD Studio, S.L., NIF B26640078, Calle Independencia, 56, 13700 Tomelloso (Ciudad Real), inscrita en el Registro Mercantil de Ciudad Real, Hoja CR-35652, Inscripción 1. Aurazz es nuestra marca.

Para cualquier cosa de privacidad escríbenos a privacidad@aurazz.es (o a contacto@aurazz.es). Si lo que quieres es avisarnos de un fallo de seguridad de nuestra propia web, escribe a security@aurazz.es (o, de nuevo, a contacto@aurazz.es).

Una advertencia sobre esos buzones, para que no pierdas un correo. privacidad@aurazz.es y security@aurazz.es están recién dados de alta y puede que todavía no reciban correo. El que sí funciona hoy es contacto@aurazz.es, así que ponlo siempre, solo o en copia. Cuando comprobemos que los otros dos reciben, lo actualizaremos aquí.

1. Lo primero, porque es lo que más sorprende: usamos inteligencia artificial

El texto de tu informe, las explicaciones, las recomendaciones y el resumen, lo redacta un modelo de inteligencia artificial de Anthropic, una empresa de Estados Unidos. No lo escondemos en una nota al pie porque probablemente sea el dato más importante de esta página.

Lo que hacemos para que eso no sea un problema:

• Lo público va tal cual. El contenido de tu web, tus perfiles públicos de redes o tus reseñas de Google ya los puede leer cualquiera en internet. Eso se envía sin tocar, porque si lo camuflásemos el análisis dejaría de ser tuyo y pasaría a ser genérico.
• Lo personal va camuflado. Si en el análisis aparece un NIF, un correo, un teléfono o el nombre de una persona, lo sustituimos por una etiqueta antes de enviarlo y lo devolvemos a su sitio al recibir la respuesta. El modelo nunca ve el dato real. A eso se le llama seudonimización, y es una de las medidas complementarias que exige la sentencia del Tribunal de Justicia de la Unión Europea de 16 de julio de 2020 (asunto C-311/18, Schrems II) junto con las Recomendaciones 01/2020 del Comité Europeo de Protección de Datos.
• Hay datos que no salen: salud, biometría, ideología, religión, afiliación sindical, orientación sexual y origen étnico o racial. Son las categorías especiales del artículo 9.1 RGPD. Un filtro automático propio las bloquea antes del envío. Si ese filtro salta, la sección de tu informe conserva su nota y sus comprobaciones y solo pierde el texto explicativo, y te decimos claramente que hemos parado nosotros, no que tu web tenga un problema.

Y aquí va la letra pequeña de ese filtro, que preferimos escribir en grande. Ese bloqueo trabaja sobre texto, que es la inmensa mayoría del análisis. Hay una excepción: una parte del análisis de experiencia de usuario manda una captura de pantalla de tu web pública, y esa captura va como imagen, así que no pasa por ese filtro. Se envía con las mismas garantías de retención, de seudonimización del texto que la acompaña y de seguridad que todo lo demás, y es una página que cualquiera puede ver en internet, pero el bloqueo automático del artículo 9 no se aplica ahí. Estamos cerrando ese hueco. Mientras tanto preferimos decírtelo a venderte un "nunca" que no sería verdad. Si en tu web pública hay imágenes con datos de salud o equivalentes y prefieres que no se analice, dínoslo y desactivamos esa parte de tu auditoría.

Qué hace Anthropic con lo que le mandamos. Lo guarda 30 días con finalidad de seguridad y prevención de abuso, y después lo borra. No lo usa para entrenar sus modelos: tenemos esa exclusión activada. Pedimos el régimen de retención cero y nos lo denegaron el 20 de mayo de 2026, porque está reservado a contratos de nivel empresarial. Preferimos contártelo a maquillarlo. Volveremos a pedirlo cuando cumplamos el umbral que exigen.

Cómo viaja hasta allí. Con las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión de Ejecución UE 2021/914, Módulo 2), un contrato de encargado del artículo 28 RGPD, la certificación de Anthropic en el marco EU-U.S. Data Privacy Framework, y una evaluación de impacto de la transferencia que hemos escrito nosotros y que puedes pedirnos. El detalle jurídico completo está en la sección 4 de la política de privacidad.

2. Quién toca tus datos, dónde, y cuánto los guarda

Aquí están, con nombre y apellidos de empresa. Mantener esta lista al día es una obligación nuestra, no un favor: si algún día ves que usamos un proveedor que no aparece aquí, avísanos a privacidad@aurazz.es (o a contacto@aurazz.es) y lo resolvemos sin demora. Cuando añadamos, cambiemos o quitemos a alguien de esta lista te avisamos con 30 días naturales de antelación si tienes contrato en vigor con nosotros.

2.1. Los que hacen funcionar la web, tu cuenta y el contacto contigo

2.2. Los que intervienen cuando pides una auditoría

2.3. Cinco cosas que conviene aclarar de esa lista

WhatsApp es un canal de un tercero, no un proveedor nuestro. Cuando nos escribes por ahí, WhatsApp trata tus datos por su cuenta y con sus propias reglas, no siguiendo instrucciones nuestras: es responsable del tratamiento por derecho propio y no un encargado que trabaje para nosotros. Lo ponemos en la tabla porque somos nosotros los que te ofrecemos ese botón, y porque tienes derecho a saber a quién se lo estás dando (arts. 13.1.e y 5.1.a RGPD). Si prefieres que Meta no sepa que hablas con nosotros, escríbenos por correo: el mismo trato, el mismo plazo de respuesta y un proveedor menos.

El PDF de tu informe lo generamos nosotros. No hay ningún tercero de por medio: se monta en un servicio propio alojado en el mismo Google Cloud de Frankfurt que aparece en la tabla, y ese servicio no navega nunca a direcciones externas. Lo decimos porque llegamos a contratar y a probar un proveedor externo para esto, lo usamos de verdad para generar un PDF con datos reales, comprobamos que no producía documentos accesibles y lo sustituimos por el servicio propio. Hoy no queda ningún tercero en la generación del PDF.

Hay proveedores contratados que todavía no tocan ni un dato tuyo. Los listamos igual, para que el día que entren no sea una sorpresa: Cloudflare (caché de las llamadas a la IA, acuerdo firmado desde julio de 2026, hoy sin tráfico real).

Firecrawl, y esto te lo contamos tal cual es aunque no nos deje bien. Firecrawl lee contenido web cuando una página nos bloquea o hay que leer fichas de producto. Solo entrega su acuerdo de tratamiento de datos contrafirmado con plan de pago, y hasta el 1 de septiembre de 2026 nuestra cuenta era gratuita. En ese periodo, durante nuestras pruebas de agosto, el motor le envió la dirección web de dos negocios que no son nuestros antes de que nos diéramos cuenta. Lo dejamos escrito porque pasó: está registrado como incidencia de cumplimiento en nuestro registro interno y no se borra por haberlo arreglado después.

Qué hemos hecho al respecto. El 1 de septiembre de 2026 contratamos el plan de pago — cuyas condiciones sí incorporan ese acuerdo de tratamiento — y además pedimos por escrito el contrato contrafirmado, a nombre de JD Studio, S.L. y citando el artículo 28 del RGPD. Ese documento todavía no ha llegado, así que el estado exacto hoy es "pedido, no contrafirmado", y lo decimos así en vez de redondearlo. Cuando llegue, aparecerá en la tabla de arriba con su fecha.

Cuando abramos los pagos entrarán dos más: Stripe (cobro con tarjeta) y Holded (facturación). Todavía no están activos. Los añadiremos a esta tabla con los 30 días de aviso.

Lo que nosotros no hacemos con ninguno de ellos: vender tus datos, cederlos con fines comerciales, ni usarlos para entrenar modelos de inteligencia artificial. Solo comunicamos datos a las Administraciones Públicas cuando una ley nos obliga.

3. Cuánto guardamos cada cosa

Aquí va lo que casi nadie publica. Cada tipo de dato tiene su propio plazo, porque no tiene sentido guardar una captura de pantalla el mismo tiempo que una factura.

Estos plazos no son una declaración de intenciones: los ejecuta un proceso automático que corre todos los días de madrugada y va borrando lo que ha pasado de fecha, cada tipo de dato con su propio reloj. Lo decimos porque un plazo publicado y no cumplido es peor que no publicar ninguno, y porque el artículo 5.2 RGPD nos obliga a poder demostrar que cumplimos lo que decimos, no solo a decirlo.

Cuando nos pides que borremos tu cuenta, borramos todo lo anterior salvo lo que la ley nos obliga a conservar, que es la facturación y la prueba del consentimiento. Esa prueba se queda sin tu correo ni nada que te identifique. Con la misma honestidad: ese borrado a petición lo hacemos a mano, no hay todavía un botón que lo dispare solo, así que se ejecuta dentro del mes que nos da el artículo 12.3 RGPD y te confirmamos por escrito cuando está hecho. El proceso automático del párrafo anterior es otra cosa: va por calendario, no por petición tuya.

Una precisión sobre la anonimización: cuando un dato se anonimiza de verdad, es decir, cuando ya no hay forma de volver a asociarlo contigo, deja de ser un dato personal y deja de estar sujeto al RGPD (art. 4.1 y considerando 26). Los datos anonimizados los usamos agregados para poder decirle a la siguiente peluquería de Albacete cómo está respecto a su sector.

4. Qué decide el sistema por su cuenta

La auditoría te da una puntuación de 0 a 100 y la calcula un sistema automático. Conviene ser preciso sobre qué significa eso:

• Se puntúa una web, no una persona. Es un diagnóstico sobre la presencia digital de un negocio. No evaluamos ni predecimos aspectos personales tuyos, que es en lo que consiste la elaboración de perfiles según el art. 4.4 RGPD.
• De la nota no depende ningún derecho ni ninguna condición. No cambia el precio que pagas, ni el acceso al servicio, ni se comunica a nadie que pueda decidir sobre ti. El informe es tuyo y solo lo recibes tú.
• Hay una decisión automática que sí tiene efecto en el contrato, y preferimos decirlo a esconderlo: si tu auditoría es entregable o no y, en consecuencia, si se te cobra. Se decide con un criterio puramente técnico, sin mirar ningún dato personal tuyo, y juega siempre a tu favor: si no se ha podido completar, no se cobra. Está explicado con detalle en la sección 5 de la política de privacidad.
• Puedes pedir que un humano lo revise. Aunque el art. 22 RGPD no nos obligue, asumimos sus garantías: te explicamos cómo hemos llegado a tu nota, una persona revisa lo que creas mal medido y puedes impugnar cualquier hallazgo aportando lo que el análisis no pudo ver. Si hubo un error de medición, corregimos el informe y te lo volvemos a emitir sin coste.
• Todo lo que redacta la IA va marcado como tal, en las cuatro superficies de entrega, tal y como exige el art. 50 del Reglamento (UE) 2024/1689, el Reglamento de Inteligencia Artificial. Es un borrador fundamentado, no un dictamen: revísalo antes de actuar.

5. Nuestro papel: no somos un mero ejecutor

Esto es técnico pero te afecta, así que va en cristiano. Cuando hacemos tu auditoría no nos limitamos a ejecutar tus instrucciones: decidimos nosotros qué se comprueba, con qué método, cuánto tiempo se guarda y quién accede. Eso, en el lenguaje del RGPD, nos convierte en responsables del tratamiento por derecho propio (art. 4.7), no en un encargado que trabaja para ti (art. 4.8).

Las consecuencias son buenas para ti:

• Respondemos nosotros. Si hay una brecha de seguridad, la notificamos nosotros a la Agencia Española de Protección de Datos en 72 horas y te avisamos a ti cuando entrañe un alto riesgo (arts. 33 y 34 RGPD). No esperamos a que nos lo digas tú.
• Tienes un interlocutor claro. Escribes a un buzón nuestro y te contestamos en un mes (art. 12.3 RGPD).
• Sabes con qué derecho tratamos cada cosa: lo tuyo, porque nos has contratado (art. 6.1.b RGPD); los datos de terceros que aparecen en las fuentes públicas que analizamos, por nuestro propio interés legítimo en poder prestar el servicio de análisis (art. 6.1.f RGPD), ponderado frente a sus derechos, porque son datos ya públicos que se usan para valorar la presencia del negocio, no a la persona.

Si eres una de esas personas cuyo nombre aparece en una reseña o en un artículo público y no quieres que tus datos aparezcan en nuestros análisis, escríbenos y te sacamos. No podemos escribir individualmente a cada una para avisarla, y el art. 14.5.b RGPD contempla justamente esa imposibilidad: por eso publicamos esta información aquí.

6. Qué puedes pedirnos, y cómo

En cualquier momento y gratis, escribiendo a privacidad@aurazz.es o a contacto@aurazz.es:

• Ver qué tenemos sobre ti (art. 15 RGPD).
• Corregir lo que esté mal (art. 16 RGPD).
• Borrarlo (art. 17 RGPD), salvo lo que la ley nos obliga a conservar.
• Congelarlo mientras discutimos algo (art. 18 RGPD).
• Llevártelo en un fichero que puedas usar en otro sitio (art. 20 RGPD).
• Oponerte a que lo tratemos por interés legítimo, y a la publicidad, sin dar explicaciones (art. 21 RGPD).
• Retirar tu consentimiento cuando quieras, sin que eso afecte a lo que hicimos antes (art. 7.3 RGPD).

Si escribes desde el correo asociado a tu cuenta, no te pedimos nada más. No te vamos a exigir una copia del DNI por sistema: el art. 12.6 RGPD solo permite pedir información adicional cuando haya dudas razonables sobre quién eres, y el art. 5.1.c RGPD nos obliga a pedir lo mínimo. Solo si de verdad tenemos esa duda te pediremos algún dato adicional, el imprescindible para despejarla y nada más, y te diremos por qué. Contestamos en un mes, prorrogable dos meses más si la solicitud es compleja, avisándote antes (art. 12.3 RGPD).

Si crees que no lo hacemos bien, puedes reclamar ante la Agencia Española de Protección de Datos (C/ Jorge Juan, 6, 28001 Madrid, aepd.es), conforme al art. 77 RGPD. Preferimos que nos escribas antes a nosotros, pero no necesitas nuestro permiso para ir allí.

7. Cómo mantenemos esta página honesta

• La revisamos cada vez que cambia algo de lo que cuenta, y en todo caso de forma periódica.
• Si añadimos un proveedor, aparece aquí antes de que toque un dato tuyo, con 30 días naturales de aviso si tienes contrato en vigor.
• Si te faltan datos, pídenoslos: te enseñamos el contrato de tratamiento de datos que tenemos firmado con cualquiera de los proveedores que trabajan por encargo nuestro. Dos matices, porque si no la frase sería más bonita que cierta: WhatsApp no trabaja por encargo nuestro, es un tercero con sus propias reglas, y de Firecrawl tenemos el acuerdo por la vía de las condiciones de su plan de pago, pero el contrato contrafirmado todavía no ha llegado — lo hemos pedido y te lo enseñamos en cuanto lo tengamos.

Esta página explica en lenguaje llano lo que la política de privacidad dice en lenguaje jurídico. Si algo no coincidiera, manda la política de privacidad, y avísanos del fallo a privacidad@aurazz.es o a contacto@aurazz.es, porque sería un fallo nuestro.