Qué recopilamos
- Datos de comprobación. La marca y la categoría que introduces, las 5 preguntas de comprador generadas, las respuestas de la IA y la puntuación resultante. Es lo que alimenta tus resultados y cualquier enlace compartible que crees.
- Una dirección IP con hash. Aplicamos un hash (SHA-256) a tu dirección IP antes de guardarla, y solo la usamos para aplicar el límite de ráfaga por minuto y el tope diario global de comprobaciones. Nunca guardamos tu dirección IP en bruto.
- Un correo guardado con el resultado de una comprobación, solo si nos lo das. Si dejas tu dirección junto al resultado de una comprobación, guardamos la dirección de correo que introduces y, de forma opcional, una referencia a la comprobación a la que se refiere. Fuera de eso, tu cuenta y el formulario de contacto, no recopilamos direcciones de correo.
- Lo que envías por el formulario de contacto. Tu nombre, dirección de correo, el campo opcional de empresa, el tema y tu mensaje nos llegan por correo para que podamos responder. No se escriben en nuestra base de datos; el correo en nuestra bandeja es la única copia que conservamos.
- Analítica. Usamos Google Tag Manager para cargar etiquetas de analítica que nos dicen qué páginas se visitan y cómo encuentra la gente el sitio. También contamos dos cosas que haces: que una comprobación terminó y que se guardó un correo. Esos dos recuentos no llevan ningún detalle sobre ti: el evento de comprobación incluye solo una banda aproximada de la puntuación (ninguna, algunas, la mayoría o todas las 5 preguntas), y ninguno lleva tu marca, tu categoría, tu dirección de correo, el enlace de tu resultado ni ninguna de las respuestas de la IA. Esto no afecta a los datos descritos arriba: tus comprobaciones, la IP con hash y cualquier correo se tratan igual en todos los casos.
- De dónde vienes, si un enlace nos lo dijo. Si llegas por un enlace con una etiqueta de referencia (por ejemplo, uno de un socio como Hire Alvin, con valores
ref o utm_ en la dirección), guardamos esas etiquetas y la ruta de la página en la que aterrizaste en una cookie propia llamada mnt_ref durante un máximo de 30 días. La cookie contiene solo esas etiquetas cortas, nada sobre ti, y los scripts de tu navegador no pueden leerla. Nuestros propios botones de registro y “Haz una comprobación gratis” llevan también una etiqueta, que indica solo dónde está el botón (como nav o footer); al hacer clic en uno se guarda esa etiqueta y la ruta de la página de este sitio desde la que hiciste clic, en la misma cookie, salvo que ya haya una etiqueta de un socio. Si creas una cuenta mientras está ahí, guardamos las etiquetas con tu cuenta para ver qué socios y cuáles de nuestros botones traen gente a Mentioned. Si no llegas por un enlace etiquetado ni haces clic en uno de esos botones, no se establece ni se guarda nada.
- Tu cuenta. Hacer una comprobación requiere una. Guardamos tu dirección de correo y tu contraseña; la contraseña solo como un hash argon2id con una sal aleatoria por cuenta, del que no hay camino de vuelta a lo que escribiste. Las cuentas creadas antes de argon2id se verifican con su hash anterior PBKDF2-SHA256 y pasan a argon2id la próxima vez que inicias sesión. Una sesión de acceso es un token aleatorio en una cookie; guardamos solo su SHA-256, así que una copia de nuestra base de datos no puede reutilizarse como inicio de sesión.
- Iniciar sesión con Google, solo si lo usas. “Continuar con Google” le pide a Google los permisos
openid email profile y nada más. De la respuesta firmada de Google usamos tu dirección de correo verificada, para encontrar o crear tu cuenta, y el ID estable que Google da a tu cuenta de Google, que guardamos vinculado a tu cuenta de Mentioned con las fechas de vinculación y último uso. No guardamos tu nombre ni tu foto de perfil, y no conservamos ninguna autorización de acceso de Google: este inicio de sesión no da a Mentioned acceso a tus datos de Google, y es independiente de la conexión con Analytics y Search Console que se describe más abajo. Solo vinculamos Google a una cuenta existente cuando tanto Google como Mentioned han verificado la dirección. Una cuenta creada así no tiene contraseña hasta que la establezcas con un enlace de restablecimiento.
- Passkeys, solo si añades una. De cada passkey guardamos su ID de credencial, su clave pública, un contador de firmas, las indicaciones de transporte que informa tu navegador (como “internal” o “usb”), el nombre que le das, y cuándo se añadió y se usó por última vez. La clave privada nunca sale de tu dispositivo o gestor de contraseñas, y la comprobación de huella, rostro o PIN ocurre en tu dispositivo: nunca recibimos datos biométricos. Cada inicio de sesión o configuración usa un desafío de un solo uso que guardamos como máximo cinco minutos.
- Claves de API de proveedor, solo las que guardes a propósito. Si guardas una clave en la página de Ajustes, la guardamos cifrada. Consulta la sección de más abajo para saber exactamente de qué te protege eso y de qué no.
- Una conexión con Google, solo si conectas una. Si conectas Google Analytics y Search Console, guardamos una autorización de acceso de Google cifrada y la propiedad y el sitio que elegiste. Los datos de analítica en sí no se guardan. Consulta Datos de usuario de Google más abajo.
- Una clave de Bing Webmaster Tools, solo si guardas una. Se cifra igual que una clave de proveedor guardada, y solo se mantienen legibles sus últimos cuatro caracteres para que la página pueda mostrar qué clave está guardada. Ningún informe la lee todavía. Quitarla en Ajustes la elimina.
- Apps que conectas a tu cuenta. Si conectas Claude u otro cliente MCP, con un token de API o aprobándolo en nuestra pantalla de consentimiento, guardamos el hash SHA-256 del token en lugar del token, el nombre que le diste o el nombre y la dirección de retorno de la app, y cuándo se creó (y, para un token que hiciste tú, cuándo se usó por última vez). Consulta Apps conectadas más abajo para saber qué puede hacer una app así.
- Cookies de preferencias.
mnt_theme recuerda claro u oscuro durante un año, y los scripts del propio sitio la leen para que cada página se abra en el tema que elegiste. mnt_rail recuerda si contrajiste la barra lateral de la app, y mnt_ws qué workspace abriste por última vez. Cookies de corta duración también llevan un intento de inicio de sesión o conexión entre pasos y caducan en minutos. Ninguna se usa para publicidad ni seguimiento.
- Las herramientas gratuitas. El verificador de rastreadores de IA, el validador de llms.txt y el verificador de datos estructurados obtienen la dirección que introduces desde nuestro servidor y te muestran lo que encontraron. No guardamos la dirección, la página ni el resultado. Cada petición cuenta contra un límite de tasa a corto plazo basado en tu dirección IP, que mantiene el limitador de tasa de Cloudflare y no nuestra base de datos, y toda petición que obtiene una página pasa antes una verificación de Turnstile. El texto que pegas en el validador de llms.txt se comprueba y se descarta. El generador de llms.txt y el generador de preguntas de comprador se ejecutan por completo en tu navegador y no nos envían nada.
Qué no recopilamos
- Ninguna dirección IP en bruto, solo la forma con hash descrita arriba.
- Ninguna contraseña en forma legible; mira más arriba.
- Ninguna clave de API de una comprobación puntual. Si pegas tu propia clave de ChatGPT, Gemini, DeepSeek, Groq o Perplexity en el verificador de la página de inicio, se envía con esa única comprobación, se usa para hacer las preguntas y se descarta cuando termina la petición. Nunca se escribe en nuestra base de datos ni en ningún registro, a ningún nivel, incluidos los registros de errores. Eso no ha cambiado. Las claves que guardas a propósito en Ajustes son algo aparte y opcional, descrito a continuación.
Proveedores con tu propia clave
La comprobación gratuita corre en Claude con nuestra propia clave de Anthropic, en ChatGPT a través de nuestra propia cuenta de OpenRouter y en Gemini a través de nuestra propia cuenta de OpenRouter (o nuestra propia clave de Google cuando OpenRouter no está disponible). Puedes añadir opcionalmente tu propia clave de API de otro proveedor para comparar respuestas. Cuando lo haces:
- La clave viaja con esa única comprobación por HTTPS, se usa como cabecera de autorización en las peticiones a ese proveedor y se descarta. No guardamos nada sobre ella: ni la clave, ni un hash, ni una huella.
- Si marcas “Recordar estas claves en este navegador”, las claves se guardan en el almacenamiento local de tu propio navegador, en tu dispositivo, para que no tengas que pegarlas cada vez. Es una comodidad con un inconveniente real: cualquier cosa que se ejecute en ese navegador puede leerlas. La casilla está desactivada por defecto, y “Olvidar claves guardadas” las borra.
- Tu marca, categoría y las preguntas generadas se envían a los proveedores que selecciones. Para un proveedor del que aportaste una clave, esa petición se procesa bajo sus propios términos de API y tu propia cuenta con ellos. Para Claude, ChatGPT y Gemini en una comprobación gratuita, se procesa bajo nuestras cuentas; mira la nota sobre Google más abajo.
Claves que guardas en Ajustes
Si tienes una cuenta, puedes guardar una clave de API de proveedor para no tener que pegarla cada vez. Es opcional, no hace falta para nada, y todas las ejecuciones semanales funcionan sin ella. Esto es exactamente lo que pasa con una clave guardada:
- Se cifra (AES-256-GCM) antes de escribirse en nuestra base de datos, con una clave que no se guarda en esa base de datos. Así que una copia de la base de datos por sí sola no contiene ninguna clave utilizable.
- El límite de eso, dicho claramente: este sitio puede descifrar lo que guarda, porque tiene que hacerlo para usar la clave. Así que el cifrado te protege si nuestra base de datos se filtra. No te protege de nosotros, y no vamos a decir lo contrario. Si no quieres ese trato, no guardes una clave: pegarla en una comprobación puntual sigue funcionando y no guarda nada.
- Mantenemos los últimos cuatro caracteres sin cifrar para que la página pueda decirte qué clave está guardada. Nunca volvemos a mostrar la clave ni la devolvemos desde ninguna API.
- Una clave guardada se usa solo para dos cosas: una ejecución que inicias tú expresamente con tus claves desde la página de una palabra clave, y cada ejecución de una palabra clave que configuraste como diaria. Ambas gastan tu presupuesto con ese proveedor. Una ejecución semanal nunca la toca; esa corre con nuestra clave, como siempre, y nunca se usa para la comprobación de nadie más.
- OpenRouter. Si guardas una clave de OpenRouter y listas modelos, una ejecución en uno de ellos envía tus preguntas a OpenRouter, que las pasa a la empresa detrás del modelo que elegiste (OpenAI, xAI, Meta, Mistral, etc.) bajo tu cuenta de OpenRouter y sus términos. La lista de modelos que guardas se almacena como texto plano; es una lista de nombres de modelos, no un secreto.
- Quitar una clave en la página de Ajustes elimina la fila guardada.
Datos de usuario de Google
Conectar Google es opcional. Si lo haces, desde Ajustes, esto es exactamente lo que hace Mentioned con el acceso que concedes.
- A qué accedemos. Dos permisos de Google de solo lectura, solicitados juntos en una sola pantalla de consentimiento:
https://www.googleapis.com/auth/analytics.readonly (Google Analytics 4) y https://www.googleapis.com/auth/webmasters.readonly (Google Search Console). Con ellos leemos la lista de propiedades de GA4 y sitios de Search Console que tu cuenta de Google puede ver, para que elijas una de cada. Después, para la propiedad y el sitio que elegiste, leemos los últimos 28 días de clics, impresiones, porcentaje de clics, posición media y principales consultas de búsqueda de Search Console, y las sesiones y usuarios de GA4, incluidas las sesiones cuya fuente es un asistente de IA como chatgpt.com o perplexity.ai. No podemos cambiar nada en tu cuenta de Google. Estos permisos son de solo lectura.
- Cómo lo usamos. Solo para mostrarte esos datos, en la página de Búsqueda y tráfico de tu propia cuenta, junto a las cifras de visibilidad en IA que Mentioned ya sigue por ti. Se obtienen de Google cada vez que abres esa página y no se guardan en nuestra base de datos. Para etiquetar las consultas que mencionan tu marca, comparamos el texto de la consulta con los nombres de marca que sigues. Es una coincidencia de texto simple en nuestro servidor, no un modelo de IA.
- No se comparten, venden ni transfieren. No vendemos datos de usuario de Google, ni los compartimos o transferimos a nadie más, ni los usamos para publicidad, remarketing ni ningún tipo de elaboración de perfiles. Otros usuarios de Mentioned, incluidos compañeros de un workspace compartido, no pueden ver tus datos de Google.
- No se envían a proveedores de IA ni se usan para entrenar modelos. Los datos de Google Analytics y Search Console nunca se envían a Anthropic (Claude), Google Gemini ni a ningún otro proveedor de IA, nunca se incluyen en un prompt y nunca se usan para desarrollar, mejorar o entrenar ningún modelo de IA o de aprendizaje automático, ni nuestro ni de nadie.
- Cómo se protegen. Lo que guardamos es la autorización de acceso de larga duración que emite Google (un token de actualización), más el ID de propiedad, el nombre de propiedad y la URL del sitio que elegiste. El token de actualización se cifra con AES-256-GCM antes de escribirse en nuestra base de datos, con una clave que no se guarda en esa base de datos, y nunca se te muestra a ti ni a nadie, nunca se devuelve desde ninguna API y nunca se escribe en un registro. Los límites de ese cifrado son los mismos descritos para las claves de API guardadas más arriba. Todo el tráfico hacia Google y hacia este sitio usa HTTPS.
- Conservación y eliminación. La conexión se conserva solo hasta que la desconectes. Desconectar Google en Ajustes revoca la autorización en Google y elimina la conexión guardada. Eliminar tu cuenta hace lo mismo: revoca la autorización en Google y elimina la conexión guardada. También puedes retirar el acceso de Mentioned en cualquier momento desde tu cuenta de Google en https://myaccount.google.com/permissions. Después, el informe deja de funcionar y te pide que vuelvas a conectar. Como los datos de analítica se obtienen en vivo y no se guardan, no queda nada más de ellos que eliminar.
Uso limitado. El uso y la transferencia a cualquier otra app, por parte de Mentioned, de la información recibida de las API de Google se ajustarán a la Política de datos de usuario de los servicios de API de Google (https://developers.google.com/terms/api-services-user-data-policy), incluidos los requisitos de Uso limitado.
Apps conectadas
Conectar Claude u otro cliente MCP es opcional, y solo puedes hacerlo tú. Una app conectada puede leer los datos de tu cuenta: palabras clave seguidas, puntuaciones y tendencias, y las preguntas, competidores, modelos, fuentes y respuestas guardadas que hay detrás. Cuando se lo pides, también puede volver a ejecutar una palabra clave seguida, lo que gasta una ejecución de tu cuota diaria, o añadir una palabra clave para seguir, dentro de los límites de tu plan. No puede leer tu contraseña ni tus claves de API guardadas. Lo que lee se envía a esa app y al proveedor de IA que hay detrás, bajo tu propio acuerdo con ellos, no con nosotros. Puedes revocar un token o desconectar una app en cualquier momento en Conectar Claude dentro de Ajustes, y deja de funcionar de inmediato.
Quién más ve estos datos
Hacer una comprobación requiere enviar tu marca, categoría y las preguntas generadas a Anthropic (creador de Claude) y a Google (creador de Gemini) para obtener las respuestas de la IA; es el núcleo del producto. Nuestras peticiones a Claude y Gemini pueden enrutarse a través de OpenRouter, que las reenvía a Anthropic o Google y devuelve la respuesta; la comprobación gratuita también consulta a OpenAI (creador de ChatGPT), a través de OpenRouter del mismo modo. Cada uno procesa esa petición bajo sus propios términos de API. El sitio en sí corre en Cloudflare (Workers, base de datos D1 y Turnstile para protección contra bots), que procesa el tráfico y almacena datos en nuestro nombre como proveedor de infraestructura. Los mensajes del formulario de contacto y los correos de cuenta, como los de restablecimiento de contraseña, los entrega Resend, que los gestiona solo para enviarlos.
Si te suscribes a un plan de pago, Stripe procesa el pago. Los datos de tu tarjeta van directamente a Stripe y nunca llegan a nuestros servidores: guardamos solo los identificadores de cliente y suscripción que Stripe nos devuelve, que es lo que le dice a la app en qué plan estás. No podemos ver el número de tu tarjeta, y nunca cobramos a una cuenta gratuita.
Google es distinto de los demás, y debes saber cómo. Nuestra clave de Gemini está en el nivel gratuito de Google, y Google afirma que el contenido enviado en ese nivel se usa para mejorar sus productos. Los términos de API de Anthropic no hacen esto. Así que una comprobación gratuita envía tu marca y categoría a dos empresas con dos tratos distintos: Anthropic lo procesa para responder y nada más, mientras que Google también puede aprender de ello. Si eso te importa, añade tu propia clave de API de Gemini en Ajustes: una comprobación con tu clave corre bajo tu cuenta y tus términos con Google, no los nuestros.
No vendemos datos y no los compartimos con nadie más con fines publicitarios o de marketing.
Por qué guardamos los resultados de las comprobaciones
Guardar cada comprobación es lo que hace funcionar los enlaces "Copiar veredicto" / "Compartir en X" y la página de resultados /r/<id>: si no conserváramos el registro, un enlace compartido no tendría nada que cargar. También nos permite aplicar los límites de uso razonable.
Cuánto tiempo lo conservamos
Los registros de comprobación y las IP con hash se conservan para operar el producto (páginas de resultados, límite de tasa y prevención de abuso). Si quieres que se elimine una comprobación o un correo guardado, contáctanos; mira más abajo.
Tus opciones
Hacer una comprobación requiere una cuenta gratuita, así que guardamos la dirección de correo con la que te registras y las formas con las que inicias sesión: una contraseña que solo guardamos como hash argon2id (los hashes PBKDF2 antiguos se reemplazan en tu próximo inicio de sesión), un vínculo a tu cuenta de Google y las passkeys que añadas. Puedes quitar una passkey desde la página de Seguridad en cualquier momento.
Puedes eliminar tu cuenta tú mismo, desde Ajustes. Elimina tu cuenta, cada consulta seguida y su historial de ejecuciones, cada comprobación que hayas hecho, las claves de proveedor guardadas, tus conexiones de Google y Bing, tu vínculo de inicio de sesión con Google y tus passkeys, tus tokens de API y las apps conectadas. Los enlaces de resultados compartidos dejan de funcionar, porque las respuestas que hay detrás forman parte de lo que se elimina. Si tienes un plan de pago, se cancela primero con Stripe, y si esa cancelación falla no se elimina nada: no te dejaremos pagando por una cuenta a la que ya no puedes acceder. Conservamos una sola cosa: un registro de que Stripe nos envió un evento de facturación, con tu identificador de cuenta eliminado.
Si solo quieres que se elimine una dirección de correo, o que se retire un único resultado compartido sin eliminar la cuenta, envíanos un mensaje a través del formulario de contacto y nos encargamos.
Cambios en esta política
Si cambia lo que guardamos, esta página se actualizará primero, y la fecha de “última actualización” de arriba lo reflejará.
Haz una comprobación gratis