Política de privacidad

Quiénes somos

AttributionOS (attributionos.app) es un servicio de HDR Marketing LLC, sociedad constituida en Wyoming (Estados Unidos) con domicilio en 30 N Gould St, Sheridan, WY 82801, EE. UU.: una plataforma de atribución de ventas para agencias y equipos comerciales. Cada agencia opera en su propio espacio aislado, y los datos de sus clientes no se comparten entre espacios ni con otras agencias.

Somos responsables de los datos de las personas que usan la plataforma (su cuenta). De los datos que cada espacio registra sobre sus leads y clientes (incluidos los que dejan en sus formularios y reservas), el responsable es el negocio de cada espacio (o la agencia que lo gestiona, cuando ese negocio le encarga el servicio): decide para qué se usan, y nosotros los tratamos por su cuenta, como encargados.

Además, alojamos el aviso de privacidad de cada negocio que usa la plataforma, con los datos legales que el propio negocio nos da, y lo enlazamos en sus formularios y reservas.

Qué datos tratamos

• Datos de cuenta: nombre, correo y contraseña (cifrada) de quien usa la plataforma, y el nombre de su organización.
• Datos comerciales que la agencia registra: leads (nombre, correo, teléfono), llamadas, ventas, comisiones, citas, contratos y respuestas a sus formularios. Los campos de cada formulario los decide la agencia.
• Datos de navegación en sitios de la agencia: si la agencia instala nuestro script de seguimiento en sus páginas, registramos visitas, origen de la campaña (UTM, identificadores de clic como fbclid), el tipo de dispositivo, el navegador y el país. Al enviar un formulario de esas páginas, el script recoge el correo, el teléfono y el nombre escritos en él, salvo que la agencia desactive esa captura. Nunca lee contraseñas ni campos ocultos.
• Registros técnicos: la IP y el navegador desde los que se rellena un formulario o se firma un contrato, como prueba de la respuesta y de la firma, y la prueba de la autorización que el lead da en los formularios y reservas del negocio (el texto exacto que aceptó, la fecha y un hash de su IP).
• Datos de plataformas conectadas: si la agencia conecta Meta, Calendly, Typeform, Fathom, Stan, Fanbasis, Shopify, ManyChat u otras integraciones, leemos los datos que esas plataformas autorizan: métricas de anuncios, citas, respuestas, pagos y clientes, o grabaciones y transcripciones de llamadas. Los tokens de acceso se guardan cifrados.

Para qué los usamos

• Atribuir cada venta al anuncio, campaña o canal del que vino.
• Calcular comisiones y mostrar métricas al equipo de la agencia.
• Gestionar las citas, formularios y contratos de la agencia, y enviar sus avisos y recordatorios.
• Calificar leads, si la agencia no lo desactiva (se explica más abajo).
• Con los datos de cuenta: dar acceso, cobrar la suscripción, enviar avisos del servicio y dar soporte.

No vendemos datos personales ni los usamos para publicidad propia.

Datos que enviamos a Meta

Cuando la agencia conecta su cuenta publicitaria de Meta y lo activa, enviamos eventos de conversión a la Conversions API de Meta para medir sus campañas. El correo, el teléfono y nuestro identificador interno del lead viajan siempre hasheados con SHA-256 (Meta no recibe el dato en claro), junto con los identificadores de clic del propio Meta cuando existen, el importe y la moneda de la venta, el nombre del producto y la página donde ocurrió. Esto ocurre únicamente hacia la cuenta publicitaria de la propia agencia. Si detectamos la señal Global Privacy Control del navegador del lead en nuestro script, formularios o reservas, sus eventos se envían con «Uso limitado de datos», el mecanismo de Meta para no vender ni compartir esos datos cuando la ley lo exige.

Proveedores que tratan datos por nuestra cuenta

• Supabase (base de datos, autenticación y almacenamiento de archivos) y Vercel (aplicación): todos los datos de la plataforma.
• Upstash: la dirección IP de quien hace peticiones a la aplicación, durante unos minutos, para limitar los abusos.
• Resend (correo): nombre y correo del destinatario y el contenido del mensaje (invitaciones, confirmaciones y recordatorios de citas, enlaces de firma de contratos y avisos de la cuenta).
• OneSignal y el servicio de notificaciones del navegador (Google, Apple, Mozilla o Microsoft): avisos al equipo de la agencia, que pueden incluir el nombre de un lead.
• Google (Sheets, Docs y Drive), mediante una cuenta de servicio de AttributionOS: lee y escribe las hojas que la agencia comparte con ella (reportes de llamadas, inscritos a webinars) y crea en Drive los informes de voz del cliente, con citas de las llamadas, que luego se comparten con la agencia.
• Stripe y Whop: cobro de la suscripción de la agencia (datos de facturación de la agencia). No reciben datos de sus leads.

HDR Marketing LLC y la mayoría de estos proveedores están en Estados Unidos, así que los datos se transfieren y tratan allí.

Inteligencia artificial (Aria)

Aria funciona con el proveedor de inteligencia artificial que conecta la propia agencia con su clave (Anthropic, OpenAI, Google Gemini, Groq, OpenRouter, DeepSeek, Mistral u otro compatible). Ese proveedor recibe lo necesario para cada tarea: la conversación y, según el caso, transcripciones de llamadas, respuestas de formularios, notas y datos del lead. Puede estar en otro país, según el que elija la agencia. El uso que haga de esos datos se rige por el contrato de la agencia con ese proveedor.

Calificación de leads

Viene activada en cada espacio y la agencia puede desactivarla en sus ajustes. Da a cada lead una puntuación con lo que respondió en los formularios de la agencia, la web pública de su empresa y registros públicos de empresas (OpenCorporates: nombre de la empresa, país y dominio). El motor de inteligencia artificial de la agencia estima además su capacidad de inversión, sin recibir su correo ni su teléfono.

La puntuación ordena el trabajo comercial de la agencia: etiqueta al lead, puede moverlo de etapa, crear una tarea o avisar a otras herramientas de la agencia. No decide por sí sola sobre créditos, contratos ni precios, y la agencia puede borrarla.

Hay consultas externas que vienen apagadas y solo funcionan si la agencia las enciende. Se hacen con las cuentas de AttributionOS, no con las de la agencia, y esos proveedores actúan como subencargados nuestros:

• People Data Labs (correo, teléfono y nombre) y Brave Search (nombre y empresa), únicamente si el lead dio su consentimiento para el enriquecimiento de sus datos.
• Twilio Lookup: el teléfono, para comprobar que existe y su tipo de línea. Base legal: el interés legítimo en descartar números falsos.

Integraciones a las que la agencia decide enviar datos

Discord y Slack (avisos de ventas con nombre, correo y teléfono del lead y, si los hay, comprobantes de pago), GoHighLevel, PandaDoc, Calendly (si un formulario incluye su calendario, le pasamos el nombre, el correo y el teléfono del lead para rellenar la reserva) y los webhooks salientes que configure (por ejemplo, Zapier). Esos envíos van a cuentas de la agencia, bajo sus condiciones con cada plataforma.

Acceso de la agencia que gestiona la organización

Si tu espacio pertenece a una organización gestionada por una agencia, esa agencia y sus asistentes automáticos pueden consultar, con claves de acceso limitadas a su organización, los datos de ventas, llamadas, embudos y métricas de los espacios que gestiona, y enviar avisos a los canales de Slack o Discord que el espacio ya tenga conectados. Cada uso de esas claves queda registrado.

Cookies y almacenamiento en el navegador

En attributionos.app no usamos cookies de publicidad ni herramientas de analítica de terceros. Lo que se guarda en tu navegador es esto:

• Sesión (sb-…-auth-token, hasta 7 días): mantiene la sesión iniciada. Imprescindible.
• Conexión de integraciones (aos_oauth_…, 15 minutos): protege el paso de autorización con Meta, Calendly o Fathom. Imprescindible.
• Borradores (almacenamiento local, 30 días): guarda lo que llevas respondido de un formulario, un contrato o un diagnóstico para no perderlo si cierras la página.
• Preferencias del panel (almacenamiento local): vista, columnas, espacio activo y periodo elegidos.
• Notificaciones (OneSignal, en el panel): un identificador de tu navegador para poder enviarte avisos si los activas.
• Seguimiento de la agencia (aos_vid_…, 365 días, y aos_sid_…, mientras dura la visita): los pone nuestro script en las páginas de la agencia y en sus formularios y reservas públicos de AttributionOS, para unir tus visitas con tu solicitud y atribuirla a su campaña. También lee, sin crearlas, las cookies _fbc y _fbp que pone Meta. Si la agencia lo configura, el script espera a tu consentimiento antes de medir en sus propias páginas; los formularios y reservas alojados en AttributionOS miden desde que se abren. Informar y pedir el consentimiento que exija la ley es responsabilidad de la agencia.
• Tu elección (aos_consent_…, 365 días): recuerda si aceptaste o rechazaste la medición en las páginas de la agencia. Si la rechazas, el script borra sus cookies y deja de medir. Puedes darte de baja de la medición cuando quieras, aunque antes la hayas aceptado, desde las opciones de cookies que ofrezca la agencia en su web o pidiéndoselo directamente a la agencia. Imprescindible.
• Calendly: si un formulario incluye su calendario, Calendly pone sus propias cookies según su política.

Puedes borrar o bloquear todo esto desde la configuración de tu navegador. Si bloqueas la sesión, no podrás iniciar sesión.

Cuánto tiempo los conservamos

Los datos se guardan en infraestructura de Supabase y Vercel, con acceso restringido por espacio de trabajo. Los conservamos mientras la cuenta de la agencia esté activa, hasta que se pida su supresión o durante el tiempo que la ley exija conservarlos. Hoy los registros técnicos y de navegación no tienen un plazo de borrado automático: también se conservan mientras la cuenta esté activa.

Tus derechos

Sobre tus datos personales puedes, en cualquier momento y sin coste:

• Conocerlos y acceder a ellos, y saber para qué se han usado.
• Actualizarlos y corregirlos.
• Pedir prueba de la autorización que diste, cuando hizo falta darla.
• Revocar esa autorización o pedir que se supriman, salvo que un deber legal o contractual obligue a conservarlos.
• Oponerte a un tratamiento o pedir tus datos en un formato de uso común, si la ley que te aplica lo reconoce.
• Presentar una queja ante la Superintendencia de Industria y Comercio de Colombia (o la autoridad de tu país) después de hacer tu consulta o reclamo ante nosotros.

Cuando se suprimen los datos de una persona, se borran sus respuestas y archivos de formularios, sus visitas, sus registros de webinar, su calificación y los contratos que no llegó a firmar. Sus citas se cancelan sin enviarle avisos y se quedan sin datos personales. Se conservan, sin datos que la identifiquen, los importes de sus compras (por obligación contable) y el registro interno de quién hizo la supresión y cuándo. Los contratos firmados se conservan completos como prueba del acuerdo.

Cómo ejercerlos

Escribe a medios@hdrmarketing.com, que es el canal del equipo de HDR Marketing LLC que atiende los asuntos de privacidad. Indica tu nombre, el correo o teléfono con el que te registraron, qué pides y, si es un reclamo, los hechos en que se basa.

• Consultas (qué datos tenemos y cómo se usan): respondemos en un máximo de 10 días hábiles. Si no es posible, te decimos por qué y respondemos en otros 5 días hábiles como máximo.
• Reclamos (corregir, suprimir, revocar): los resolvemos en un máximo de 15 días hábiles. Si no es posible, te decimos por qué y los resolvemos en otros 8 días hábiles como máximo. Si falta información, te la pedimos en los 5 días hábiles siguientes; si no llega en dos meses, entendemos que desististe.

Si eres lead o cliente de un negocio que usa AttributionOS (por ejemplo, dejaste tus datos en uno de sus formularios o reservas, o llegaste por una agencia que lo gestiona), el responsable es el negocio de ese espacio —o la agencia, cuando el negocio le encargó el servicio— y esa es la vía más rápida. También puedes pedírnoslo a nosotros o usar la página Eliminar mis datos: lo resolvemos con quien corresponda dentro de los mismos plazos.

La baja de la cuenta de una agencia se pide por correo y se tramita en un plazo de 15 días hábiles.

Menores de edad

AttributionOS es un servicio para empresas y no está dirigido a menores de 18 años. Si una agencia recoge datos de menores en sus formularios, debe contar con la autorización de sus representantes legales.

Vigencia y cambios

Esta política rige desde el 24 de septiembre de 2026, y las bases de datos se mantienen mientras el servicio siga activo. Si cambia de forma relevante, lo avisaremos en la aplicación y actualizaremos la fecha de arriba.

Contacto

HDR Marketing LLC · 30 N Gould St, Sheridan, WY 82801, EE. UU.. Para cualquier asunto de privacidad, escríbenos a medios@hdrmarketing.com.