Privacidad

Última actualización: 21 de octubre de 2026

Esta página explica qué datos personales trata CitedBy (citedby.eu), con qué finalidad, sobre qué base jurídica, durante cuánto tiempo los conservamos, quién más los recibe y qué puede hacer usted al respecto. Se ajusta al Reglamento General de Protección de Datos de la UE (RGPD).

1. Quién es el responsable

CitedBy está gestionado por Bilal Sbaiby, persona física residente en España, que es el responsable del tratamiento de sus datos. Dirección postal: Travesia del Nuevo Alamin 11, 2D, 19005 Guadalajara, España. Correo electrónico: hello@citedby.eu. Consulte también el aviso legal.

2. Qué tratamos, para qué y durante cuánto tiempo

Qué	Para qué lo usamos	Base jurídica (RGPD, art. 6)	Plazo de conservación
Comprobación gratuita: la dirección web que introduce, las páginas públicas que hemos obtenido de ella y el resultado. Su dirección IP se convierte en un código unidireccional con clave que usamos para contar las comprobaciones por red; no conservamos la dirección en sí.	Para realizar la comprobación y mostrarle el resultado. Para limitar el abuso (unas pocas comprobaciones gratuitas por red y día).	Ejecución del servicio que usted ha solicitado (art. 6, apartado 1, letra b); nuestro interés en evitar el abuso (art. 6, apartado 1, letra f).	7 días; después se suprimen.
Cuenta: su dirección de correo electrónico, el idioma que ha elegido, el momento en que se registró. Si establece una contraseña, solo un hash con sal de la misma (scrypt), nunca la contraseña. Si usa el inicio de sesión con Google, solo la dirección de correo verificada que Google nos envía.	Para crear su cuenta, iniciar su sesión y enviarle lo que ha contratado.	Ejecución del contrato con usted (art. 6, apartado 1, letra b).	Hasta que elimine su cuenta.
Enlaces de inicio de sesión y de confirmación: un enlace es válido para un solo uso y durante 15 minutos (también el de restablecimiento de contraseña) y solo guardamos un hash del mismo.	Para demostrar que la dirección de correo es suya.	Art. 6, apartado 1, letra b.	Se suprimen con su cuenta.
Auditorías de sitios: su dirección de correo electrónico, la dirección web que audita, las páginas públicas que hemos obtenido de ella (dirección, título, encabezados, un breve extracto de texto y las comprobaciones superadas o no superadas) y el informe. Solo obtenemos páginas públicas, nunca iniciamos sesión y nos identificamos como CitedBot, salvo que cargamos su página de inicio una vez como un navegador y una vez como cada uno de los principales rastreadores de IA, para ver qué muestra cada uno.	Para rastrear su sitio, elaborar el informe y las correcciones, y volver a rastrear con la periodicidad que usted establezca.	Art. 6, apartado 1, letra b.	Hasta que elimine su cuenta. Una auditoría sigue abierta para usted durante 30 días; el informe almacenado no se suprime automáticamente en ese momento, sino solo cuando se elimina su cuenta o usted nos pide que eliminemos la auditoría.
Ajustes de proyecto que usted añade: periodicidad, opciones de resumen y de alertas por correo, la dirección de un webhook de Slack, las cifras de Search Console que importa, un nombre de marca, logotipo y color, un dominio personalizado para los informes, una contraseña para compartir (guardada solo como hash), las direcciones de correo de los miembros del equipo.	Para prestar esas funciones.	Art. 6, apartado 1, letra b.	Hasta que los retire o elimine su cuenta.
Pagos: su plan, los números de cliente y de suscripción de Stripe, el estado del pago. Nunca vemos el número de su tarjeta: lo gestiona Stripe. Los avisos de Stripe para nosotros (eventos) contienen su dirección de correo electrónico, el plan y los importes.	Para cobrar, gestionar la prueba gratuita y las renovaciones, emitir facturas y efectuar reembolsos.	Art. 6, apartado 1, letra b; conservación de los registros contables (art. 6, apartado 1, letra c).	Los registros que Stripe y nosotros conservamos como registros contables se guardan durante seis años, como exige la legislación mercantil española (Código de Comercio, art. 30), y después se suprimen. No se suprimen cuando usted elimina su cuenta.
Una prueba gratuita por dirección de correo y tarjeta: su dirección de correo electrónico, su dominio, los números de cuenta y de suscripción, y la huella digital de su tarjeta en Stripe (un código que identifica la tarjeta; no es el número de la tarjeta).	Para aplicar la norma de una sola prueba, de modo que eliminar una cuenta y empezar de nuevo no permita obtener una segunda prueba gratuita.	Nuestro interés en evitar el abuso (art. 6, apartado 1, letra f).	Se conserva tras eliminar su cuenta, mientras siga aplicándose la norma de una sola prueba. Puede oponerse a este registro (véase la sección 7).
Desistimiento: si desiste de un contrato con la función «Desistir del contrato aquí», su nombre, su dirección de correo electrónico, el número de contrato, la declaración, el momento en que se realizó (UTC) y lo que hicimos al respecto.	Para tramitar su desistimiento, reembolsarle el importe y poder demostrar más adelante que lo hicimos.	Art. 6, apartado 1, letra c, y art. 6, apartado 1, letra f.	Seis años, junto con los registros contables indicados arriba.
Correos que le enviamos: enlaces de inicio de sesión, confirmaciones, recibos y recordatorios de la prueba (3 días antes del primer cobro), informes, y los resúmenes y alertas que usted active. Conservamos un registro de lo enviado: la dirección, el asunto y el texto, sin los enlaces de inicio de sesión ni de contraseña.	Para prestar el servicio.	Art. 6, apartado 1, letra b.	Se suprimen con su cuenta.
Mensajes que nos envía a hello@citedby.eu: su dirección y el mensaje.	Para responderle.	Art. 6, apartado 1, letra b, si es cliente o está a punto de serlo; en otro caso, nuestro interés en responder (art. 6, apartado 1, letra f).	El tiempo necesario para responderle y atender el seguimiento; después se suprimen.
Recuentos de visitas: qué página se ha visto, en qué idioma, si se ha pulsado un botón, y recuentos anónimos de pasos como el registro, el inicio de sesión, el pago o el desistimiento (sin correo electrónico, nombre ni número de cuenta), sin cookies y sin almacenar nada en su dispositivo. Nuestros servidores no escriben direcciones IP ni cadenas de consulta en sus propios registros.	Para saber qué páginas funcionan y mantener el servicio en marcha.	Nuestro interés en mejorar el servicio y mantenerlo seguro (art. 6, apartado 1, letra f).	Los recuentos no contienen ningún identificador; el proveedor de analítica los conserva en su proyecto de la UE (véase la sección 4).
Datos de alojamiento y seguridad: la capa de alojamiento (servidor, red) trata su dirección IP y la página que solicita para entregar la página y bloquear ataques.	Para prestar el servicio del sitio de forma segura.	Art. 6, apartado 1, letra f.	Solo el tiempo necesario para esas finalidades.
Copias de seguridad: una copia nocturna de nuestra base de datos.	Para restablecer el servicio si algo falla.	Art. 6, apartado 1, letra f.	Conservamos las últimas 30 copias nocturnas; las anteriores se sobrescriben. Una cuenta eliminada desaparece de las copias de seguridad en un plazo de 30 días, a medida que se sustituyen las copias más antiguas.

¿Está obligado a facilitarnos sus datos? Necesitamos una dirección de correo electrónico para crear una cuenta y enviarle los informes; sin ella no podemos prestar el servicio. La comprobación gratuita solo necesita la dirección web que usted introduce. Todo lo demás es opcional. Para pagar un plan hacen falta los datos de pago que recoge Stripe y que nosotros nunca vemos.

No vendemos sus datos ni los usamos para publicidad. No adoptamos decisiones sobre usted por medios automatizados que produzcan efectos jurídicos o le afecten significativamente de modo similar (art. 22).

3. Cookies

Las páginas públicas no instalan cookies ni cargan scripts de terceros, y la etiqueta de analítica no almacena nada en su dispositivo. Instalamos una cookie solo cuando una función la necesita. Todas son estrictamente necesarias, HttpOnly, se envían únicamente por HTTPS y nunca se usan para el seguimiento ni la publicidad:

ci_session mantiene su sesión iniciada. Se instala al iniciar sesión y dura 30 días, o hasta que cierre la sesión.
ci_gstate se instala solo si usa «Continuar con Google». Dura 10 minutos y comprueba que el inicio de sesión al que vuelve es el que usted inició.
ci_share_<report id> se instala cuando abre un informe compartido protegido con contraseña e introduce su contraseña. Dura 24 horas para que no tenga que volver a escribirla.

4. Quién recibe sus datos

Usamos los siguientes proveedores de servicios (encargados del tratamiento) y un responsable del tratamiento independiente. Cada uno recibe únicamente lo que su función requiere.

Stripe Payments Europe Ltd (Irlanda): pagos, suscripciones, facturas y reembolsos. Recibe su dirección de correo electrónico, el plan y los datos de su tarjeta; los datos de la tarjeta nunca llegan a nosotros. Puede tratar datos en Estados Unidos en virtud de cláusulas contractuales tipo.
Resend (Estados Unidos): envía nuestros correos, por lo que recibe su dirección de correo electrónico, el asunto y el texto de cada mensaje, incluidos enlaces de inicio de sesión, recibos, informes, resúmenes y alertas. Cláusulas contractuales tipo.
Anthropic Ireland, Limited (Irlanda, UE), que puede transferir datos a Anthropic, PBC (Estados Unidos) en virtud de cláusulas contractuales tipo: recibe el texto público de las páginas que hemos rastreado, para que podamos evaluar cada página y redactar las correcciones. No recibe su dirección de correo electrónico ni los datos de su cuenta.
OpenRouter (Estados Unidos; cláusulas contractuales tipo): recibe preguntas generales que redactamos nosotros mismos sobre categorías de productos, para nuestros propios datos de referencia. No recibe ninguna dirección de correo electrónico, datos de cuenta ni contenido de auditorías.
PostHog (nube de la UE, Fráncfort, operada por PostHog Inc., Estados Unidos; cláusulas contractuales tipo): cuenta las visitas a las páginas y estos pasos. Nuestro servidor le transmite su dirección IP y el tipo de navegador con cada visualización de página para que pueda distinguir las visitas durante un día; no instala cookies, no almacena la dirección ni el tipo de navegador, y no se utiliza cuando su navegador envía la señal No rastrear (Do Not Track) o Global Privacy Control.
Forward Email (Forward Email LLC, Estados Unidos; cláusulas contractuales tipo): recibe cada mensaje enviado a hello@citedby.eu (dirección del remitente y mensaje) y lo reenvía a la bandeja de Gmail del operador, proporcionada por Google Ireland Ltd (UE), que puede transferir datos a Google LLC (Estados Unidos) en virtud del Marco de Privacidad de Datos UE-EE. UU.
Google Drive (Google Ireland Ltd, con Google LLC en virtud del Marco de Privacidad de Datos UE-EE. UU.): guarda nuestras copias de seguridad nocturnas de la base de datos (véase la tabla anterior).
Hetzner Online GmbH (Alemania; nuestros servidores están en Helsinki, Finlandia, UE): aloja nuestro sitio y nuestra base de datos.
Cloudflare, Inc. (Estados Unidos, en virtud del Marco de Privacidad de Datos UE-EE. UU.): responde a las consultas DNS que realizamos cuando usted verifica un sitio mediante un registro DNS o comprueba el dominio personalizado de sus informes de marca. Recibe la dirección de ese sitio o dominio y la dirección IP de nuestro servidor, y ningún dato de cuenta.
Slack (Salesforce, Inc., Estados Unidos, en virtud del Marco de Privacidad de Datos UE-EE. UU.): recibe nuestras alertas de proyecto (la dirección del sitio auditado, su puntuación, cuántos problemas son nuevos o están corregidos y qué ha empeorado, además de un enlace al informe) únicamente en la dirección de webhook de Slack que usted nos facilita en los ajustes de su proyecto, de modo que llegan a su propio espacio de trabajo de Slack, conforme a su acuerdo con Slack. Si no hay ninguna configurada, no se envía nada a Slack.
Google (Google Ireland Ltd, con Google LLC en virtud del Marco de Privacidad de Datos UE-EE. UU.) es además un responsable del tratamiento independiente para el inicio de sesión con «Continuar con Google»: ve que usted inicia sesión en CitedBy y trata su cuenta de Google conforme a su propia política de privacidad (policies.google.com/privacy), y nos envía su dirección de correo electrónico verificada. A Google solo le pedimos su dirección de correo electrónico (los ámbitos openid y email) y no conservamos ningún nombre, foto, contacto ni token de Google. No enviamos a Google ningún otro dato sobre usted. Iniciar sesión con Google es opcional; el enlace de inicio de sesión por correo funciona sin él. La base jurídica es el art. 6, apartado 1, letra b.

También podemos comunicar datos cuando la ley lo exija.

5. Transferencias fuera de la UE

Cuando un destinatario está en Estados Unidos (Resend, OpenRouter, PostHog Inc., Forward Email, Anthropic, Google, Cloudflare, Slack), la transferencia se basa bien en el Marco de Privacidad de Datos UE-EE. UU. (cuando así lo indicamos arriba), bien en las cláusulas contractuales tipo de la Comisión Europea. Escriba a hello@citedby.eu si desea una copia de las garantías.

6. Eliminar su cuenta

Puede exportar los datos de su cuenta y eliminar su cuenta desde los ajustes de su cuenta. La eliminación se realiza en una sola acción y surte efecto de inmediato:

Primero cancelamos con Stripe todas las suscripciones activas. Si esto falla, no eliminamos nada y le mostramos un error, de modo que nunca se le factura por una cuenta eliminada. Inténtelo de nuevo o escríbanos.
Después eliminamos su cuenta, sus enlaces de inicio de sesión, su dirección de nuestro registro de correo y todo lo que contienen sus auditorías: auditorías, las páginas que obtuvimos, proyectos y sus ajustes (incluida la dirección de un webhook de Slack), cifras de Search Console, ajustes de marca, contraseñas para compartir, periodicidades y los miembros del equipo a quienes invitó. También se elimina una invitación que otra cuenta haya enviado a su dirección. Los datos de otras cuentas nunca se tocan.

Lo que permanece tras la eliminación, y por qué: los registros de pagos, facturas y desistimientos descritos en la tabla anterior (seis años, legislación contable) y el registro de la prueba única (art. 6, apartado 1, letra f). Nuestras copias de seguridad de la base de datos dejan de contener sus datos en un plazo de 30 días, a medida que se sobrescriben las copias más antiguas.

Para que se elimine una sola auditoría sin eliminar su cuenta, escriba a hello@citedby.eu.

7. Sus derechos

En virtud del RGPD (arts. 15 a 22) usted tiene derecho a:

acceder a sus datos y obtener una copia (art. 15). Puede descargarlos desde los ajustes de su cuenta.
rectificar los datos que sean inexactos (art. 16).
obtener la supresión de sus datos (art. 17), con sujeción a las excepciones indicadas arriba.
limitar el uso que hacemos de ellos (art. 18).
ser informado cuando rectifiquemos, suprimamos o limitemos datos que hayamos comunicado (art. 19).
recibirlos en un formato portable (art. 20): la exportación desde los ajustes de su cuenta es un archivo JSON.
oponerse al tratamiento basado en nuestro interés legítimo (art. 21), por ejemplo el registro de la prueba única, los límites contra el abuso y los recuentos de visitas. En ese caso dejamos de tratarlos, salvo que acreditemos motivos legítimos imperiosos o necesitemos los datos para la formulación, el ejercicio o la defensa de reclamaciones.
no ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o le afecte significativamente de modo similar (art. 22). No adoptamos tales decisiones.

Para ejercer un derecho, escriba a hello@citedby.eu desde la dirección que usa su cuenta. Respondemos en 2 días laborables y, en todo caso, completamos su solicitud en el plazo de un mes (art. 12, apartado 3). Podemos pedirle que acredite su identidad.

8. Reclamaciones

Usted tiene derecho a presentar una reclamación ante una autoridad de control de protección de datos. En España es la Agencia Española de Protección de Datos (AEPD): aepd.es (reclamaciones a través de su sede electrónica, sedeaepd.gob.es). También puede reclamar ante la autoridad del país de la UE en el que viva o trabaje.

9. Cambios

Modificamos esta página cuando cambia lo que hacemos y actualizamos la fecha que figura al principio.