Política de privacidad

Esta Política de privacidad explica qué recopila RankMeFast, por qué, cómo se protege y las opciones que tienes. Se aplica al Servicio alojado en rankme.fast y a las instancias autoalojadas que ejecutan el mismo software.

En despliegues autoalojados, la organización RankMeFast no tiene acceso a tus datos — todo se ejecuta en tu propia infraestructura. La información siguiente describe el Servicio alojado.

Datos de la cuenta. Nombre, correo electrónico, contraseña (solo hash scrypt), idioma preferido, rol y estado de verificación del correo. Perfil opcional de Google OAuth si inicias sesión con Google.

Datos de sesión. Token de sesión, dirección IP y agente de usuario, guardados con cada sesión por motivos de seguridad y prevención de abusos.

Datos de uso. Contadores mensuales por cuenta de palabras clave monitorizadas, auditorías, páginas auditadas, filas de backlinks, resúmenes de IA y puestos. Estos contadores aplican los límites del plan.

Datos del producto. Dominios que añades, palabras clave monitorizadas, historial de posiciones, informes de auditoría, filas de backlinks, conjuntos de competidores y resultados de investigación de palabras clave. Son los datos de trabajo que el Servicio produce para ti.

Datos de facturación. Nivel de suscripción, facturas y asientos del libro mayor de créditos. Los detalles de la tarjeta los gestiona Polar; RankMeFast no almacena los números completos de tarjeta.

Credenciales de proveedores. Tokens de actualización de Google Search Console y credenciales de DataForSEO cuando los configuras. Se cifran en reposo con AES-256-GCM bajo una clave maestra.

Mensajes del formulario de contacto. Si usas el formulario de contacto, el contenido del mensaje y tu correo se entregan a nuestra bandeja de soporte a través de Resend.

Usamos los datos anteriores para:

• Aprovisionar y operar tu cuenta, sitios y auditorías.
• Aplicar los límites de plan y prevenir el abuso mediante límites de tasa y aislamiento entre cuentas.
• Procesar pagos a través de Polar y mantener un historial de facturas y del libro mayor de créditos.
• Enviar correos transaccionales: verificación, restablecimiento de contraseña, finalización de auditoría, alertas de caída de posiciones y avisos de eliminación. El correo de marketing es opt-out y solo se envía si la preferencia correspondiente está activada.
• Generar resúmenes de IA cuando la función está activa. Solo se envían al modelo de IA el texto generado de las reglas y el dominio del sitio — nunca HTML en bruto, cargas útiles de proveedores ni tus datos personales.
• Mantener registros de auditoría por seguridad. Los registros de auditoría nunca guardan correos, cuerpos de solicitud, cabeceras ni parámetros sensibles.

Cookie de sesión. Una única cookie httpOnly, SameSite=Lax (better-auth.session_token) te mantiene conectado. En producción está marcada como Secure.

Cookie CSRF. Un token de doble envío (x-csrf-token por defecto) protege los formularios. Es SameSite=Strict y Secure en producción.

Cookie de idioma. Una cookie lang guarda tu preferencia de idioma de la interfaz durante un año.

Cuando el sitio alojado se configura con Google Analytics, Google recibe información del navegador y del uso y puede establecer identificadores de medición. RankMeFast no usa cookies publicitarias.

RankMeFast comparte datos solo con los subprocesadores necesarios para operar el Servicio:

• Polar — procesamiento de pagos y gestión de suscripciones. Recibe IDs de producto, referencias de cliente y eventos de webhook. No recibe tus datos de auditoría ni de posiciones.
• DataForSEO — señales de palabras clave, posiciones, backlinks, competidores y velocidad de laboratorio de Lighthouse. Recibe los dominios, palabras clave y URL públicas de auditoría que envías.
• Google APIs (OAuth, Search Console y Analytics; PageSpeed Insights y CrUX opcionales cuando se configuran) — recibe datos de propiedades conectadas. La inspección de URL de Search Console envía una muestra de URL públicas del sitio cuando hay una propiedad conectada; PageSpeed solo envía URL públicas de auditoría si Google está seleccionado para medir la velocidad.
• Firecrawl (Cloud) — rastreo de páginas públicas para auditoría, monitorización y Content Intelligence. Recibe solo las URLs públicas que selecciones.
• Proveedores de IA procesa resúmenes de IA y briefs o borradores de Content Intelligence mediante la lista de proveedores aprobada por el operador: GLM, DeepSeek, Kimi, OpenAI, Gemini y Anthropic Claude. Solo se envían extractos limitados y saneados tras tu consentimiento explícito. Nunca se envía HTML crudo. Las condiciones de uso de datos dependen del acuerdo y la configuración vigentes del operador.
• Resend — entrega de correos transaccionales y de notificación.

Si el sitio alojado está configurado con Google Analytics, Google también recibe eventos del navegador y de uso del sitio.

Cada subprocesador está vinculado por sus propios términos de protección de datos. RankMeFast no vende tus datos.

Content Intelligence es opt-in por análisis. Cuando lo ejecutas procesamos lo siguiente:

• Firecrawl Cloud rastrea las URLs públicas que seleccionas — tu página propia y hasta tres páginas competidoras públicas que aceptes. Nunca páginas autenticadas ni capturas de pantalla.
• Se almacenan extractos saneados y limitados y hechos derivados para construir la tarjeta, el brief y las citas.
• Los extractos saneados solo se envían si aceptas el brief o borrador de IA, mediante la lista de proveedores aprobada por el operador: GLM, DeepSeek, Kimi, OpenAI, Gemini y Anthropic Claude. La lista procede de una autoridad legal estática, nunca de la configuración en ejecución.
• No se retiene HTML crudo. Los extractos saneados caducan a los 7 días. Los hechos derivados, hashes, briefs, borradores, citas y uso siguen la retención de la cuenta.
• El contenido público de competidores se usa como prueba breve y citada, sin reproducirlo de forma sustancial. Las condiciones de uso de datos se rigen por los acuerdos vigentes del operador; esta política no promete nada más amplio sobre entrenamiento.

Nada se publica automáticamente. Briefs y borradores viven en RankMeFast como versiones de trabajo editables; expórtalos o elimínalos cuando quieras.

• Los secretos de proveedores y los tokens de actualización se cifran en reposo con AES-256-GCM usando una clave maestra.
• Las contraseñas se hashean con scrypt a través de Better Auth; nunca se almacenan contraseñas en texto claro.
• Aislamiento entre cuentas: cada ruta del producto verifica la propiedad y devuelve 404 (no 403) para recursos ajenos, de modo que la existencia nunca se filtra.
• Los límites de tasa en las rutas de autenticación y de webhook reducen los ataques de fuerza bruta y el abuso volumétrico.
• La autenticación en dos pasos (TOTP + códigos de respaldo) está disponible en todas las cuentas y es obligatoria para administradores.
• El CSRF se aplica mediante comprobaciones de Origin y trusted-origins más la cookie de doble envío.

Ningún sistema es perfectamente seguro. Si crees haber encontrado una vulnerabilidad, contacta con security@rankme.fast antes de divulgarla públicamente.

Los hechos derivados, hashes, tarjetas de puntuación, briefs, borradores, citas, historial de recomendaciones, resultados de monitores y registros de uso siguen la retención de la cuenta hasta su exportación o eliminación. No se conserva HTML crudo y los extractos saneados caducan a los 7 días.

Los registros de facturación (facturas, libro mayor de créditos) se conservan durante el periodo que exija la ley fiscal en la jurisdicción de operación.

Los registros de auditoría con metadatos relevantes para la seguridad se conservan de forma rotatoria y nunca contienen direcciones de correo ni cuerpos de solicitud.

Según tu jurisdicción (UE/EEE, Reino Unido, California, etc.) puedes tener derecho a:

• Acceder a una copia de tus datos personales.
• Corregir datos inexactos.
• Exportar los datos de la cuenta, incluidas auditorías, historial de posiciones, análisis de Content Intelligence, inventarios, ejecuciones de competidores, monitores, historial de recomendaciones, resultados y eventos de uso relacionados.
• Eliminar tu cuenta. La eliminación entra en un periodo de gracia de 30 días durante el cual puedes cancelarla. Se envía un aviso final por correo 24 horas antes de la purga. Una obligación legal puede retrasar la eliminación cuando así lo requiera la ley.
• Oponerte o restringir determinados tratamientos, y retirar el consentimiento para el correo de marketing en cualquier momento a través de las preferencias de notificación.
• Presentar una reclamación ante la autoridad de control si crees que el tratamiento infringe la ley aplicable.

Para ejercer cualquiera de estos derechos, utiliza los endpoints de derechos sobre los datos dentro de la aplicación (/api/legal/*) o contacta con privacy@rankme.fast.

Tus datos pueden ser procesados por RankMeFast y sus subprocesadores en jurisdicciones fuera de tu país de residencia. Cuando interviene la UE/EEE, las transferencias se apoyan en salvaguardas apropiadas como las Cláusulas Contractuales Tipo u otro mecanismo lícito de transferencia.

Los despliegues autoalojados mantienen todos los datos en tu propia infraestructura; no se produce ninguna transferencia a RankMeFast.

El Servicio no está dirigido a menores de 16 años. RankMeFast no recopila conscientemente datos personales de menores. Si crees que un menor se ha registrado, contacta con privacy@rankme.fast y la cuenta será eliminada.

En una instancia autoalojada, tú controlas la infraestructura, las claves de cifrado y las integraciones con proveedores. La organización RankMeFast no recibe datos desde tu instancia. Eres responsable de cumplir con las obligaciones de esta Política (incluidas las solicitudes de los titulares de los datos) sobre los datos que trates en tu propio despliegue.

Podemos actualizar esta Política de privacidad de vez en cuando. Los cambios sustanciales se anunciarán por correo (a cuentas verificadas) o en la aplicación al menos 30 días antes de entrar en vigor. La fecha «Última actualización» a continuación refleja la revisión más reciente.

¿Preguntas sobre esta Política de privacidad o una solicitud como titular de los datos? Contacta con privacy@rankme.fast.