Política de privacidad

1. Qué hace socially

socially entrega datos públicos de redes sociales, contenido de páginas y consultas sobre si un usuario o un correo está registrado, por encargo de sus clientes. Leemos parte de los datos por nuestra cuenta y compramos parte a proveedores (sección 8). No pedimos ni usamos contraseñas o cookies de sesión de nuestros clientes en las redes sociales. Cada proveedor decide cómo recopila los datos; no afirmamos que lo haga sin iniciar sesión.

2. Dos tipos de personas

Clientes son quienes abren una cuenta y llaman a la API o usan la consola. Quienes aparecen en los resultados son los dueños de los perfiles públicos que nuestros clientes consultan. Esta política cubre a ambos.

3. Qué recopilamos sobre los clientes

• Cuenta: correo, nombre visible, el proveedor con el que inicias sesión (correo, Google o GitHub), el idioma de la interfaz y la zona horaria que elijas, y si aceptaste la política de uso aceptable y cuándo.
• Uso: el tipo, la plataforma consultada, los créditos cobrados o devueltos, el estado de caché, el id y la hora de cada solicitud; el hash de las claves de API que creas; los jobs que lanzas y sus resultados; tu endpoint de webhook y su registro de entregas.
• Facturación: tu plan, tu saldo de créditos y las referencias de cliente y pago en Stripe. Los números de tarjeta nunca pasan por nuestros sistemas; los guarda Stripe.
• Técnico: la dirección IP y el user agent de cada solicitud, en los registros.

Lo usamos para operar el servicio, medirlo, cobrarlo, mantenerlo seguro y darte soporte. No lo vendemos y no entrenamos modelos con él.

4. Iniciar sesión con Google o GitHub

Puedes abrir una cuenta con correo y contraseña, o con Google o GitHub. Si usas uno de ellos, solo recibimos lo que muestra su pantalla de permisos: tu nombre, tu correo electrónico y la foto de tu perfil. Los usamos para crear tu cuenta y reconocerte cuando vuelves.

No les pedimos nada más. Ni tu Gmail, ni tu Drive, ni tu calendario, ni tus contactos, ni tus repositorios. No vendemos lo que nos dan, no lo usamos para publicidad y no entrenamos nada con ello.

Para desconectar, quita socially en myaccount.google.com/permissions o en github.com/settings/applications. Eso termina su parte en tu inicio de sesión; no borra tu cuenta, que eliminas en la consola, en Cuenta.

El uso y la transferencia, por parte de socially, de la información recibida de las API de Google se rigen por la Política de Datos de Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado.

5. Qué recopilamos sobre quienes aparecen en los resultados

Lo que la página pública mostraba en el momento en que la leímos: nombre visible, handle, biografía, URL del avatar, número de seguidores y de publicaciones, publicaciones públicas recientes, enlaces. En una búsqueda de usuario, si un sitio respondió que ese handle existe. En una consulta de correo, si un sitio respondió que esa dirección ya está registrada, nunca la cuenta en sí, y nunca un flujo de recuperación, porque la herramienta corre con la recuperación de contraseña desactivada.

Base legal. Nos basamos en el interés legítimo en información pública (LGPD art. 7, IX; GDPR art. 6(1)(f)), con las garantías indicadas abajo: solo datos públicos, revisión de las solicitudes de exclusión y aceptación de la política de uso aceptable antes de consultar correos. Esto exige un fin válido, un tratamiento necesario y un equilibrio con los derechos de la persona. Una página pública o esta política no hace lícito cualquier uso o plazo de conservación.

6. Cuánto tiempo guardamos cada cosa

• Resultados de perfiles, publicaciones, sitios y búsquedas: guardamos los datos públicos extraídos y sus versiones anteriores por tiempo indefinido en la base de datos para responder desde la caché o cuando no podamos leer la fuente, sujetos a las solicitudes de eliminación y los derechos indicados abajo. No guardamos el HTML original de las páginas ni los archivos de imagen y video. Los enlaces de contenido guardados pueden caducar. La caché temporal tiene un plazo aparte.
• Jobs, resultados y eventos (búsquedas de usuario, consultas de correo, dossiers) se guardan mientras exista la cuenta. La eliminación de la cuenta y las solicitudes de eliminación aprobadas siguen vigentes. Los registros de entrega de webhook se guardan 7 días.
• Cuentas: al eliminar la tuya, bloqueamos el acceso de inmediato. Después revocamos las claves y detenemos los jobs abiertos. Guardamos la cuenta 14 días por si cambias de idea. Luego borramos de los sistemas en producción la cuenta que usas para entrar y todos sus datos. Los registros de pagos que debemos conservar por obligaciones fiscales y contables permanecen sin tu identificador de usuario de socially. Los datos de la transacción y la referencia de Stripe permanecen en el registro.
• Historial de consultas (qué llamaste, nunca el contenido de la página): se conserva mientras exista la cuenta.
• Registros de solicitudes: 180 días. Hacemos una copia de seguridad cada noche: se guarda 7 días en nuestros servidores y 30 días en almacenamiento externo cifrado.

7. Tus derechos (LGPD y GDPR)

Seas cliente o no, puedes pedirnos que confirmemos si tenemos datos tuyos, que te los mostremos, que los corrijamos, que los eliminemos o anonimicemos, que te los entreguemos en un formato portable, y que dejemos de tratarlos cuando nuestra base es el interés legítimo. Puedes retirar en cualquier momento un consentimiento que nos hayas dado, y puedes reclamar ante la autoridad de protección de datos de donde vives (en Brasil, la ANPD).

En la consola, dentro de Cuenta, los clientes pueden descargar los datos de la cuenta, los detalles de las claves de API, el resumen de uso y los registros de pagos. El archivo no incluye resultados de jobs ni el historial de consultas; para pedir una copia más amplia, escríbenos a hello@socially.run. También pueden eliminar la cuenta desde ahí. Cualquier otra persona, y los clientes también, puede pedir la exclusión de un usuario, correo o dominio con el formulario de exclusión de perfil. Confirmamos el correo de contacto y revisamos la solicitud. Si se aprueba, se bloquean las nuevas consultas que coincidan, incluidas las respuestas de perfiles en caché, sin cargo. Algunos enlaces deben leerse antes de identificar un perfil o dominio excluido; en ese caso, no entregamos la respuesta. La limpieza elimina las copias que coincidan de perfiles, publicaciones consultadas por enlace y sitios, incluidas sus versiones guardadas. No elimina automáticamente todas las menciones en resultados antiguos de jobs o búsquedas. Para pedir una eliminación más amplia, escribe a privacy@socially.run. Respondemos en un plazo de 15 días.

8. Quién más toca los datos

• Stripe: pagos. Los datos de tarjeta no llegan hasta nosotros.
• Amazon SES (Amazon Web Services, Estados Unidos): entrega nuestros correos, como enlaces de inicio de sesión, restablecimientos de contraseña, avisos sobre tu cuenta y nuestras respuestas a una solicitud de exclusión. Recibe tu dirección, tu nombre y el mensaje mismo. Funciona en la región us-east-1 de AWS, en Estados Unidos. AWS puede guardar y analizar cada mensaje para bloquear spam, phishing y virus. Si un correo nuestro para ti rebota de forma permanente, o si lo marcas como spam, Amazon SES guarda tu dirección en una lista de nuestra cuenta, de direcciones a las que ya no envía nada, hasta que la quitemos de ahí.
• Supabase: autenticación y base de datos, alojadas en nuestro propio servidor. Nada sale de ahí para esto.
• Nuestro proveedor de proxy de salida: las páginas públicas se piden a través de direcciones IP alquiladas. El proveedor ve qué URLs pedimos, no quién las pidió.
• scrapa: renderizado de páginas públicas cargadas de JavaScript, con un presupuesto medido. Ve qué URLs renderizamos, no quién las pidió.
• ScrapeCreators y HikerAPI: proveedores de pago de datos de perfiles públicos, publicaciones, hashtags y búsquedas. También podemos usar EnsembleData o un proveedor de datos de X (TwitterAPI.io o SocialData), según la configuración. Enviamos el perfil, la publicación, el hashtag o la búsqueda solicitada, no la identidad del cliente que la pidió.
• Cloudflare: DNS y alojamiento de nuestros front-ends.
• maigret y holehe: herramientas de código abierto que corremos en contenedores en nuestro propio servidor, nunca como servicio.

Nuestros servidores están en São Paulo, Brasil. Las transferencias fuera de Brasil y del EEE se apoyan en las cláusulas contractuales tipo de los encargados.

9. Seguridad

Las claves de API se guardan con hash, las sesiones caducan y el tráfico público usa TLS. Desde fuera del servidor, Postgres solo acepta conexiones con TLS y contraseña. Solo el administrador root puede leer las copias locales; las externas están cifradas en reposo. El acceso operativo está restringido. Ningún sistema es perfecto: si una brecha de seguridad te afecta, te lo diremos a ti y a la autoridad como exige la ley.

10. Menores de edad

socially no es para menores de 18 años, y no mantenemos cuentas de menores a sabiendas.

11. Correos que enviamos

Sobre tu cuenta. Confirmación de registro, restablecimiento de contraseña, recibos, pagos fallidos, avisos de eliminación, avisos de cuota y el aviso de cuando desactivamos un endpoint de webhook que venía fallando. Puedes desactivar los avisos de cuota en la consola, en Cuenta. Los demás forman parte del servicio y siguen mientras exista la cuenta.

Novedades y consejos. Hoy no enviamos ese tipo de correo ni pedimos permiso para marketing. Si eso cambia, pediremos un permiso aparte, con la casilla desmarcada, y podrás retirarlo.

No vendemos tu dirección de correo.

12. Conectar una app de IA o un agente

Cuando conectas Claude, ChatGPT u otra app a socially.run, o apruebas un agente con un código corto, creamos una clave de API común en tu cuenta, con el nombre de la app, y se la damos a esa app. Como con toda clave, solo guardamos su hash. La app puede hacer todo lo que hacen tus claves, y sus consultas gastan tus créditos.

Mientras una conexión está en curso guardamos un registro breve: el hash del código de un solo uso, el nombre de la app y la dirección a la que vuelve, y qué cuenta la aprobó. El código expira 5 minutos después de que la apruebas (10 minutos después de que un agente pide un código corto), y el registro se borra 24 horas después de expirar. No guardamos nada más sobre la app.

Las llamadas de la app quedan registradas como las de cualquier clave: en tu uso y tu historial, y en nuestros registros de solicitudes, durante los plazos de la sección 6. Lo que la app guarde de las respuestas que recibe depende de la política de privacidad de esa app.

Para desconectar una app, revoca su clave en Claves de API, en la consola. Deja de funcionar al instante.

13. Cambios

Todo cambio relevante se anuncia por correo a los clientes y con una nota fechada al principio de esta página.