Seguridad y manejo de datos

Esta página explica, en palabras sencillas, cómo maneja Probative los datos de su firma y las cuentas en las que trabajamos. No es una certificación. No tenemos un informe SOC 2 ni ningún otro informe de auditoría, y no damos a entender que lo tengamos. Cuando una frase de esta página es un compromiso de contrato, lo decimos.

Las cuentas son de su firma

• A su nombre, con su tarjeta. Sus cuentas de Google Ads, Anuncios de Servicios Locales, Google Analytics, Search Console, Perfil de Empresa, seguimiento de llamadas y el alojamiento del sitio web son de su firma. Cada una se abre a nombre de la firma y se paga con el medio de pago de la firma.
• Somos un usuario, no el dueño. Usted puede quitar nuestro acceso en cada cuenta en cualquier momento, sin pedirnos permiso.
• No guardamos nada a nombre de Probative por usted. No abrimos una cuenta, no compramos un dominio ni guardamos un número de teléfono de su firma a nombre de Probative.
• Una lista al empezar y un kit de salida al terminar. Anotamos cada cuenta, quién es el dueño y si usted podría quitarnos hoy. Si se va, nos retiramos de sus cuentas y le entregamos los registros. Vea nuestros términos en lenguaje sencillo.

Pedimos el menor acceso que permite hacer el trabajo

• Primero, solo lectura. Las revisiones y los estudios se hacen con acceso de solo lectura.
• Acceso estándar para administrar. Para manejar campañas hace falta acceso estándar. Pedimos derechos de administrador solo para un paso puntual, como vincular dos cuentas o configurar el seguimiento de conversiones, y después bajamos el nivel.
• Sin acceso a la facturación. Nunca necesitamos sus datos de pago y nunca manejamos su dinero de anuncios. Usted paga directamente a cada plataforma.
• Una persona, un acceso y un segundo factor. Nuestro equipo no comparte contraseñas. El acceso a nuestras páginas internas usa una llave de acceso (passkey) o un código de una aplicación de autenticación, no solo una contraseña.
• Una lista corta. Llevamos una lista de quién de nuestro equipo puede entrar a sus cuentas, y quitamos a quien deja de trabajar con su firma.

Qué guardamos y por cuánto tiempo

Recopilamos poco. Nuestros formularios piden nombre, correo de trabajo, firma, sitio web, estado, área de práctica y un mensaje corto. Le pedimos que no envíe datos del caso de nadie, y los formularios no están hechos para eso.

• Solicitudes de formularios y los correos sobre ellas: se guardan 24 meses después de nuestro último contacto, o menos si usted lo pide. Después borramos los datos personales y guardamos solo una copia codificada del correo para poder respetar una exclusión.
• Datos de seguridad del formulario (una copia codificada de la dirección IP y una descripción del navegador): se borran a los 30 días.
• Correos de seguimiento: después de un formulario de solicitud podemos enviar una breve serie, no más de un correo cada tres días. Se detiene cuando usted responde, se convierte en cliente o se da de baja, y un enlace de un clic en cada correo la termina para siempre.
• Suscripciones al boletín: se guardan mientras usted esté suscrito. Si se da de baja, guardamos solo una copia codificada de su correo para no volver a escribirle.
• Trabajo para clientes: los informes y registros se guardan mientras dura el trabajo y un breve periodo de salida, y luego se borran. Los detalles están en los términos de datos que firmamos con cada cliente.

La lista completa está en la política de privacidad, que prevalece si alguna vez difieren.

Cifrado, respaldos y nuestros sistemas

• Cifrado en tránsito. Cada página y formulario de probativegrowth.com se sirve por HTTPS, y nuestros sistemas se comunican entre sí por conexiones cifradas.
• Dónde están los datos. El sitio y su base de datos de formularios funcionan en Cloudflare. Nuestra base de datos de seguimiento de solicitudes funciona en Supabase. El correo pasa por Google Workspace. Cada uno figura en la política de privacidad como proveedor de servicios.
• Respaldos. Nuestra base de datos de formularios y nuestra base de datos de seguimiento de solicitudes se exportan cada noche a un archivo cifrado, que se conserva 30 días. Los datos de un cliente que están en las cuentas del propio cliente se quedan en esas cuentas, y las plataformas que las alojan guardan sus propios respaldos.
• Las páginas internas están cerradas. Nuestras páginas de administración muestran una página de “no encontrada” a quien no ha iniciado sesión, bloquean los intentos fallidos repetidos y registran cada consulta y exportación en un historial que no se puede editar.
• Sin tarjetas de pago. En este sitio no recibimos números de tarjeta.

Las cargas de conversión usan hash, no son anónimas

Para enseñar a Google, Microsoft y Meta qué anuncios traen clientes firmados, una firma puede enviarles un resultado como “esta llamada se convirtió en un caso firmado”. Esa carga lleva el identificador del clic del anuncio y también puede llevar el correo y el teléfono del cliente potencial en forma de hash.

• Qué es un hash. Un hash es una codificación de un solo sentido del correo o del teléfono, hecha con SHA-256 (Google, en inglés). La plataforma no puede recuperar el original a partir de él.
• Qué no es un hash. No es anónimo. Una plataforma que ya tiene el mismo correo puede codificarlo igual y encontrar la coincidencia. Esa coincidencia es justamente el propósito de la carga, y según algunas leyes de privacidad cuenta como compartir información personal. Por eso lo llamamos “hash” y nunca “anónimo”.
• Lo que nunca enviamos. Nombres, mensajes, detalles del caso, ni un correo o teléfono en forma legible.
• Menos para áreas sensibles. En las cuentas de clientes, los asuntos de inmigración, familia, defensa penal, quiebras y discapacidad se envían solo con el identificador del clic, sin correo ni teléfono con hash. En nuestro propio sitio, la misma regla aplica a las solicitudes sobre inmigración, familia y defensa penal. Quien se excluye, por correo o con Global Privacy Control, recibe el mismo trato.
• La firma decide. En las cuentas de clientes, los datos de contacto con hash solo se envían donde la firma y sus abogados hayan acordado que la política de la plataforma encaja. La versión de nuestro propio sitio está en la política de privacidad.

No vendemos datos

Nunca vendemos información personal. No armamos audiencias con la lista de clientes de ninguna firma. Los datos agregados que publicamos son aparte y se describen en nuestras páginas de datos.

Herramientas de IA

Nuestro equipo usa herramientas de IA bajo términos comerciales que prohíben entrenar con nuestros datos. Ningún dato de una firma entra en una herramienta de IA para consumidores ni en una cuenta personal de IA. Una persona revisa todo antes de que salga, y ninguna herramienta de IA tiene un acceso que pueda publicar, pagar o cambiar algo en sus cuentas.

Si algo sale mal

• Informe un problema. Escriba a hello@probativegrowth.com, o a privacy@probativegrowth.com si es una solicitud de privacidad. Nuestro archivo security.txt indica el mismo contacto. Una persona lo lee y responde en un día hábil.
• Si sus datos se ven afectados. En nuestros términos estándar para clientes, avisamos al contacto de incidentes de su firma por teléfono y correo dentro de 48 horas después de confirmar un incidente, explicamos qué pasó y qué hicimos, y enviamos un informe escrito después de contenerlo. Su firma decide si avisa a alguien más.
• ¿Encontró una debilidad? Si encuentra una debilidad en este sitio, avísenos a la misma dirección antes de contárselo a otros, y por favor no abra datos de nadie más.

Para periodistas

Las preguntas sobre cómo manejamos los datos, para una nota, van al contacto de medios de nuestro kit de prensa.

Lo que esta página no es

No es asesoría legal ni una garantía de que nunca pasará nada. Ningún sistema es perfectamente seguro. Probative es una firma de marketing, no una firma de abogados, y el contrato que firmamos con un cliente prevalece sobre esta página.

Si su firma envía cuestionarios de seguridad a sus proveedores, mándelo a hello@probativegrowth.com y lo contestamos. Como referencia, la guía de ciberseguridad para pequeñas empresas del NIST (en inglés) es el marco que seguimos.