Política de privacidad

1. Introducción#

Esta Política de privacidad explica cómo Markeos («Markeos», «nosotros») recopila, usa, comparte, conserva y protege la información cuando usas OneMetrics («el Servicio»), disponible en https://onemetrics.co, incluidas su aplicación web, su API REST, sus conectores para Looker Studio, Google Sheets, BigQuery, Excel y Power BI, y los correos que te enviamos.

OneMetrics es una herramienta para empresas y profesionales del marketing: conecta plataformas de publicidad y comercio electrónico (por ejemplo, Meta Ads y Shopify) y lleva sus métricas a las herramientas de análisis que ya usas. Por eso, tratamos dos grandes tipos de información: los datos de las personas que usan el Servicio (tu cuenta) y los datos de reporte que sincronizamos desde las plataformas que tú conectas.

Esta política se complementa con los Términos del servicio, la Política de cookies, el Acuerdo de tratamiento de datos (DPA) y las instrucciones de eliminación de datos. Está redactada para cumplir, entre otras, con la Ley Estatutaria 1581 de 2012 y el Decreto 1377 de 2013 de Colombia (compilado en el Decreto Único 1074 de 2015), el Reglamento General de Protección de Datos de la Unión Europea (RGPD/GDPR), la Ley de Privacidad del Consumidor de California modificada por la CPRA (CCPA/CPRA), la Política de Datos de Usuario de los Servicios de API de Google y los Términos de la Plataforma de Meta.

2. Responsable del tratamiento y roles#

El responsable del tratamiento de los datos de tu cuenta es Markeos, empresa que opera OneMetrics. Puedes contactarnos para cualquier asunto de privacidad en legal@markeos.com y para soporte general en support@markeos.com.

Según el tipo de información, Markeos actúa con un rol diferente:

Responsable (controller)

Para los datos de cuenta, de facturación, de uso del Servicio, de seguridad y de comunicaciones contigo. Decidimos para qué y cómo se tratan, dentro de lo descrito en esta política.

Encargado (processor)

Para los datos de plataformas que sincronizas desde tus cuentas conectadas (Meta Ads, Shopify y futuras integraciones). Esos datos pertenecen a tu organización; los tratamos solo siguiendo tus instrucciones y para prestarte el Servicio, en los términos del DPA.

Si usas OneMetrics en nombre de una empresa o de tus clientes (por ejemplo, como agencia), esa empresa o cliente es el responsable de los datos de sus plataformas y tú garantizas que cuentas con las autorizaciones necesarias para conectarlas.

3. Ámbito de aplicación#

Esta política aplica a toda persona que visite nuestro sitio, cree una cuenta, sea invitada a un espacio de trabajo, use la API o reciba nuestras comunicaciones. No aplica a los servicios de terceros que integras con OneMetrics (Meta, Google, Shopify, Microsoft, procesadores de pago, etc.), que se rigen por sus propias políticas de privacidad. Te recomendamos leerlas.

El Servicio está dirigido a empresas y profesionales. No está pensado para uso doméstico ni para menores de edad.

4. Datos que recopilamos#

Recopilamos únicamente la información necesaria para operar el Servicio. A continuación la detallamos por categoría:

Datos de cuenta

• Nombre, correo electrónico y, si la subes, foto de perfil.
• Credenciales: si te registras con correo y contraseña, nuestro proveedor de autenticación guarda solo un hash de la contraseña; nunca la vemos ni la almacenamos en texto plano. Si usas Inicio de sesión con Google, recibimos tu nombre, correo, foto e identificador de Google.
• Idioma, zona horaria y preferencias de interfaz (por ejemplo, tema claro u oscuro).
• Dirección IP, tipo de navegador y dispositivo, y fechas de inicio de sesión, con fines de seguridad y prevención de fraude.
• Registro de la versión de los Términos y de esta política que aceptaste y de la fecha de aceptación.

Datos del espacio de trabajo y facturación

• Nombre, logotipo, país, moneda y zona horaria del espacio de trabajo; miembros invitados, sus roles (propietario, administrador, editor, lector) y las restricciones por cliente.
• Datos de facturación: razón social o nombre de facturación, número de identificación tributaria (NIT, RUT, VAT, EIN u otro), país, dirección y correo de facturación.
• Datos de pago: los datos completos de la tarjeta los procesan directamente nuestros procesadores de pago (Stripe, Wompi, Bold, dLocal). Nosotros solo conservamos la marca de la tarjeta, los últimos cuatro dígitos, la fecha de vencimiento y un token o identificador emitido por el procesador.
• Historial de suscripciones, facturas, cupones aplicados y estado de los pagos.

Datos de plataformas conectadas

Cuando conectas una plataforma, sincronizamos datos agregados de reporte de tus cuentas. Los describimos en detalle en la sección Datos de plataformas conectadas.

Credenciales de integración

• Tokens de acceso y de actualización OAuth que las plataformas nos entregan cuando autorizas la conexión. Se almacenan cifrados con AES-256-GCM y solo se descifran en el servidor en el momento de sincronizar.
• Claves de API de OneMetrics que generas: guardamos únicamente su hash SHA-256 y un prefijo para identificarlas. La clave completa se muestra una sola vez.

Datos de uso y registros

• Registros de uso: consultas ejecutadas, número de filas devueltas, conector, destino (por ejemplo, Looker Studio o Google Sheets), duración y errores. Los usamos para aplicar los límites de tu plan, facturar planes medidos, detectar abusos y mejorar el rendimiento.
• Registros de auditoría: acciones relevantes dentro de tu espacio de trabajo (quién creó una fuente, cambió un rol, revocó una clave, etc.), con fecha, actor e IP.
• Registros técnicos del servidor (solicitudes, códigos de respuesta, trazas de errores) necesarios para operar y asegurar la infraestructura.

Comunicaciones

• Los mensajes que nos envías a soporte o a legal, y nuestras respuestas.
• Datos técnicos de entrega de los correos transaccionales que te enviamos (por ejemplo, si un correo fue entregado o rebotó).

Cookies

Usamos solo cookies estrictamente necesarias y de preferencias. No usamos cookies publicitarias ni de analítica de terceros. Consulta la Política de cookies.

5. Datos de plataformas conectadas#

OneMetrics solo accede a las plataformas que tú conectas expresamente, con los permisos que tú autorizas, y puedes desconectarlas en cualquier momento desde Conexiones. Solicitamos permisos de solo lectura: no publicamos, modificamos ni pausamos campañas, productos o pedidos.

Meta Ads

• Estructura de la cuenta publicitaria: cuentas, campañas, conjuntos de anuncios y anuncios (identificadores, nombres, estado, objetivo, presupuesto y fechas).
• Métricas de rendimiento (insights): inversión, impresiones, alcance, frecuencia, clics, CTR, CPC, CPM, conversiones, valor de conversión, ROAS y otras métricas disponibles en la API de Marketing de Meta.
• Desgloses agregados (breakdowns) como edad, género, país, región, plataforma, ubicación y dispositivo. Estos datos son agregados y anónimos: Meta no entrega información que identifique a las personas que vieron tus anuncios, y nosotros no la solicitamos.
• El identificador y nombre del usuario de Meta que autorizó la conexión, para poder gestionarla y revocarla.

Shopify

• Pedidos: identificador, fecha, estado financiero y de envío, moneda, subtotal, descuentos, impuestos, envío, total, canal de venta, códigos de descuento y líneas de pedido (producto, variante, cantidad, precio).
• Productos y variantes: identificador, título, tipo, proveedor, etiquetas, SKU, precio e inventario.
• Métricas agregadas de ventas y analítica de la tienda (ventas brutas y netas, pedidos, ticket promedio, devoluciones, etc.).

Uso exclusivo para prestarte el Servicio

Los datos de plataformas se usan solo para prestarte el Servicio: mostrarlos en la aplicación, permitirte consultarlos y exportarlos a los destinos que tú configuras (Looker Studio, Google Sheets, BigQuery, Excel, Power BI o la API). En particular:

• Nunca los vendemos, alquilamos ni intercambiamos.
• Nunca los usamos para publicidad, para crear perfiles publicitarios ni para dirigir anuncios, propios o de terceros.
• Nunca los usamos para entrenar, ajustar o mejorar modelos de inteligencia artificial o aprendizaje automático, propios o de terceros.
• Nunca los combinamos con datos de otros clientes ni los usamos para crear comparativas o benchmarks que te identifiquen.
• Ninguna persona de nuestro equipo los lee, salvo cuando tú lo autorizas expresamente para resolver un caso de soporte, cuando es necesario por motivos de seguridad (por ejemplo, investigar un abuso) o cuando la ley nos obliga.

6. Datos recibidos de las API de Google#

OneMetrics se integra con servicios de Google cuando tú los habilitas: Inicio de sesión con Google, Google Sheets, Looker Studio (conector comunitario) y BigQuery. Según la integración, podemos recibir:

En concreto, respecto de los datos de usuario de Google nos comprometemos a que:

1. Solo los usamos para prestar o mejorar funciones visibles para ti dentro de OneMetrics que son evidentes en la interfaz (iniciar sesión y enviar tus datos a Sheets, Looker Studio o BigQuery).
2. No los transferimos a terceros, salvo cuando es necesario para prestar o mejorar esas funciones, para cumplir la ley aplicable, como parte de una fusión, adquisición o venta de activos (con aviso previo), o con tu consentimiento expreso.
3. No los usamos para mostrar publicidad, incluida la publicidad personalizada, de reorientación o basada en intereses.
4. No permitimos que ninguna persona los lea, salvo con tu consentimiento afirmativo para mensajes o archivos específicos, cuando es necesario por motivos de seguridad (por ejemplo, investigar un abuso), para cumplir la ley, o cuando los datos se han agregado y anonimizado y se usan para operaciones internas conforme a la ley.

Tampoco usamos los datos de usuario de Google para desarrollar, mejorar o entrenar modelos generalizados de inteligencia artificial o aprendizaje automático. Puedes revocar el acceso de OneMetrics a tu cuenta de Google en cualquier momento desde la configuración de seguridad de tu cuenta de Google.

7. Datos recibidos de Meta#

Cuando conectas Meta Ads, actuamos conforme a los Términos de la Plataforma de Meta y a sus Políticas para Desarrolladores:

• Usamos los datos de Meta únicamente para tus propios reportes y análisis dentro del Servicio y en los destinos que configuras.
• No los vendemos, no los licenciamos y no los compartimos con redes publicitarias, intermediarios de datos ni terceros para fines distintos a prestarte el Servicio.
• Si eliminas la aplicación desde tu configuración de Facebook o revocas los permisos, recibimos la notificación (o la detectamos en la siguiente sincronización), eliminamos los tokens de acceso de inmediato y dejamos de sincronizar. Los datos ya sincronizados se eliminan cuando lo solicitas o cuando eliminas la conexión, la fuente, el espacio de trabajo o la cuenta, según los plazos de la sección Conservación.
• Ofrecemos instrucciones públicas de eliminación de datos en /legal/data-deletion, como exige Meta.

8. Datos de Shopify#

• La aplicación se instala por tienda y solicita únicamente permisos de lectura: pedidos (read_orders), productos (read_products) y analítica (read_analytics, read_reports cuando aplica).
• Al desinstalar la aplicación de tu tienda, revocamos y eliminamos los tokens de acceso, dejamos de sincronizar y purgamos los datos de esa tienda conforme al webhook shop/redact (a más tardar 48 horas después de recibirlo, o antes si nuestra purga programada ocurre primero).
• Atendemos los webhooks obligatorios de privacidad de Shopify: customers/data_request (respondemos indicando que no almacenamos datos personales de ese comprador), customers/redact (verificamos y eliminamos cualquier referencia, aunque por diseño no guardamos datos personales de compradores) y shop/redact (eliminamos todos los datos de la tienda).

9. Finalidades y bases legales#

Tratamos los datos para las siguientes finalidades. Para usuarios en la Unión Europea, el Espacio Económico Europeo, el Reino Unido o Suiza indicamos la base legal del RGPD. Para usuarios en Colombia, el tratamiento de datos de cuenta se basa en tu autorización previa, expresa e informada, que otorgas al aceptar esta política al crear tu cuenta, y en las excepciones previstas en la Ley 1581 de 2012.

Cuando nos basamos en el interés legítimo, hemos ponderado que nuestro interés no prevalece sobre tus derechos. Puedes oponerte a esos tratamientos escribiendo a legal@markeos.com. No tomamos decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos sobre ti.

10. No vendemos ni compartimos tus datos para publicidad#

Markeos no vende datos personales ni datos de plataformas, y no los «comparte» para publicidad conductual entre contextos en el sentido de la CCPA/CPRA. No hemos vendido ni compartido datos personales en los últimos 12 meses. No usamos píxeles publicitarios, cookies de terceros con fines de marketing ni intermediarios de datos.

11. Con quién compartimos datos (subencargados)#

Solo compartimos datos con proveedores que nos ayudan a prestar el Servicio (subencargados), bajo contratos que les obligan a protegerlos y a usarlos únicamente para ese fin:

El listado vigente de subencargados se mantiene en el Anexo III del DPA. Además, podemos compartir datos:

• Con los destinos que tú configuras: cuando envías datos a Google Sheets, BigQuery, Looker Studio, Excel, Power BI o a tu propia aplicación vía API, esa transferencia la ordenas tú.
• Con los miembros de tu espacio de trabajo, según los roles y las restricciones por cliente que defina su propietario o administrador.
• Con autoridades, cuando lo exija una ley, una orden judicial o un requerimiento válido; si la ley lo permite, te avisaremos antes.
• En una fusión, adquisición, reorganización o venta de activos, siempre que el adquirente respete esta política; te avisaremos con antelación.
• Con tu consentimiento expreso, en cualquier otro caso.

12. Transferencias internacionales#

Los datos del Servicio se alojan en Estados Unidos, con nuestro proveedor de nube. Algunos procesadores de pago tratan datos en Colombia, Uruguay u otros países de Latinoamérica. Esto implica una transferencia internacional de datos desde tu país.

• Colombia: realizamos las transferencias conforme al artículo 26 de la Ley 1581 de 2012 y a las instrucciones de la Superintendencia de Industria y Comercio (SIC). Estados Unidos figura entre los países que la SIC considera con nivel adecuado de protección; además, exigimos a nuestros proveedores contratos de transmisión o transferencia con garantías equivalentes. Al aceptar esta política autorizas expresamente estas transferencias.
• Unión Europea, EEE, Reino Unido y Suiza: cuando el destinatario no está en un país con decisión de adecuación (o no está certificado bajo el EU-U.S. Data Privacy Framework y sus extensiones), usamos las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (y el adenda del Reino Unido cuando corresponde), junto con medidas complementarias como el cifrado.
• Otros países: aplicamos garantías contractuales y técnicas equivalentes, y cumplimos los requisitos locales que correspondan.

Puedes pedir una copia de las garantías aplicables escribiendo a legal@markeos.com.

13. Conservación#

Qué pasa cuando eliminas tu cuenta o un espacio de trabajo

1. Eliminación inmediata (lógica): en el momento en que confirmas, se revoca el acceso de todos los miembros, se revocan las claves de API, se detienen las sincronizaciones y se eliminan los tokens de las plataformas conectadas.
2. Periodo de recuperación de 30 días: durante ese plazo puedes restaurar la cuenta o el espacio de trabajo desde la página de tu cuenta, por si se eliminó por error.
3. Purga definitiva: cumplidos los 30 días, los datos se eliminan de forma permanente de nuestras bases de datos.
4. Copias de seguridad: las copias que pudieran contener esos datos rotan y se eliminan en un plazo adicional máximo de 30 días.

Conservamos solo lo que la ley nos exige guardar (por ejemplo, facturas emitidas) y lo estrictamente necesario para defendernos de reclamaciones, siempre con acceso restringido.

14. Seguridad#

Aplicamos medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

• Cifrado de tokens OAuth, secretos y credenciales de destinos con AES-256-GCM en reposo, con rotación de claves.
• Cifrado en tránsito con TLS en todas las conexiones (navegador, API, plataformas y destinos).
• Claves de API almacenadas solo como hash SHA-256; la clave completa se muestra una vez y no se puede recuperar.
• Control de acceso por roles (propietario, administrador, editor, lector) y restricciones por cliente dentro de cada espacio de trabajo.
• Registros de auditoría de las acciones relevantes y monitoreo de actividad anómala.
• Principio de mínimo privilegio para nuestro personal y proveedores; acceso a producción limitado, autenticado y registrado.
• Aislamiento lógico de los datos por espacio de trabajo en todas las consultas.
• Copias de seguridad cifradas y procedimientos de recuperación.

Ningún sistema es infalible. Si ocurre un incidente de seguridad que afecte tus datos personales, te lo notificaremos sin demora indebida y, para los clientes cubiertos por el DPA, dentro de las 72 horas siguientes a tener conocimiento. También informaremos a la SIC y a las demás autoridades cuando la ley lo exija. Si descubres una vulnerabilidad, escríbenos a legal@markeos.com.

15. Tus derechos#

Según dónde vivas, tienes distintos derechos sobre tus datos personales. Los respetamos para todas las personas usuarias, con independencia de su ubicación, en la medida en que sea posible.

Colombia — Habeas Data (Ley 1581 de 2012 y Decreto 1377 de 2013)

• Conocer, actualizar y rectificar tus datos personales.
• Solicitar prueba de la autorización que nos otorgaste, salvo cuando la ley no la exija.
• Ser informado, previa solicitud, sobre el uso que hemos dado a tus datos.
• Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracciones a la ley, una vez agotado el trámite de consulta o reclamo ante nosotros.
• Revocar la autorización y/o solicitar la supresión de tus datos cuando no se respeten los principios, derechos y garantías legales, y siempre que no exista un deber legal o contractual de conservarlos.
• Acceder gratuitamente a tus datos personales objeto de tratamiento.

Plazos: atendemos las consultas en un máximo de 10 días hábiles desde su recepción (prorrogables hasta 5 días hábiles más, con aviso de los motivos) y los reclamos en un máximo de 15 días hábiles (prorrogables hasta 8 días hábiles más, con aviso de los motivos). Si un reclamo está incompleto, te pediremos completarlo dentro de los 5 días siguientes; si pasan 2 meses sin respuesta, se entenderá desistido.

Unión Europea, EEE, Reino Unido y Suiza — RGPD

• Acceso a tus datos y a información sobre su tratamiento.
• Rectificación de datos inexactos o incompletos.
• Supresión («derecho al olvido»).
• Limitación del tratamiento.
• Portabilidad: recibir tus datos en un formato estructurado y de uso común (JSON) y transmitirlos a otro responsable.
• Oposición a los tratamientos basados en interés legítimo.
• Retirar tu consentimiento en cualquier momento, sin afectar la licitud del tratamiento previo.
• Presentar una reclamación ante la autoridad de control de tu país de residencia, de tu lugar de trabajo o del lugar de la presunta infracción.

California y otros estados de EE. UU. — CCPA/CPRA

• Derecho a saber qué datos personales recopilamos, de qué fuentes, con qué fines y con quién los compartimos (esta política describe esas categorías).
• Derecho a eliminar tus datos personales, con las excepciones legales.
• Derecho a corregir datos inexactos.
• Derecho a excluirte (opt-out) de la venta o del intercambio de datos personales. No vendemos ni compartimos datos personales, por lo que no es necesario ejercerlo, pero puedes escribirnos igualmente.
• Derecho a limitar el uso de datos personales sensibles: no usamos datos sensibles para inferir características sobre ti.
• Derecho a no ser discriminado por ejercer tus derechos: no te cobraremos distinto ni te daremos un servicio inferior.
• Puedes designar un agente autorizado para ejercer tus derechos en tu nombre; le pediremos prueba de la autorización y podremos verificar tu identidad directamente.

Si eres miembro de un espacio de trabajo de otra organización y tu solicitud se refiere a datos de plataformas de esa organización, la trasladaremos a su propietario, que es el responsable de esos datos, y te ayudaremos en lo que nos corresponda como encargado.

16. Cómo ejercer tus derechos#

1. Desde la aplicación: en Tu cuenta → Privacidad y datos puedes descargar una exportación de tus datos en formato JSON, actualizar tu perfil y eliminar tu cuenta. Los propietarios pueden eliminar un espacio de trabajo desde la zona de peligro de Configuración.
2. Por correo: escribe a legal@markeos.com desde el correo asociado a tu cuenta, indicando tu nombre, el derecho que quieres ejercer y, si aplica, los datos concretos. Si escribes desde otro correo o mediante un representante, te pediremos verificar tu identidad o la representación.

Atender tus solicitudes es gratuito. Solo podremos cobrar un costo razonable o rechazar la solicitud si es manifiestamente infundada o excesiva, cuando la ley lo permita, y te explicaremos los motivos. Para las solicitudes de eliminación de datos de plataformas, consulta también Eliminación de datos.

17. Menores de edad#

El Servicio es para mayores de 18 años que actúan en nombre de una empresa o como profesionales. No recopilamos conscientemente datos de menores. Si crees que un menor nos ha proporcionado datos, escríbenos y los eliminaremos.

18. Cambios a esta política#

Podemos actualizar esta política para reflejar cambios en el Servicio, en nuestros proveedores o en la ley. La fecha y la versión aparecen al inicio del documento. Si el cambio es material, te avisaremos por correo o dentro de la aplicación con antelación razonable y te pediremos aceptar la nueva versión en tu siguiente inicio de sesión. Si incorporamos herramientas de analítica en el futuro, actualizaremos esta política y la de cookies y te pediremos tu consentimiento antes de activarlas.

19. Contacto y canales de atención#

• Responsable: Markeos, operador de OneMetrics (https://onemetrics.co).
• Privacidad, protección de datos y Habeas Data: legal@markeos.com.
• Soporte del producto: support@markeos.com.
• Autoridad de control en Colombia: Superintendencia de Industria y Comercio — www.sic.gov.co.

Esta política constituye además nuestra Política de Tratamiento de la Información en los términos del Decreto 1377 de 2013.