Política de privacidad
Última actualización: 31 de octubre de 2026
Quiénes somos
GrowRockets es operada por GrowRockets Consultoria em TI Ltda, CNPJ 67.546.427/0001-60, Rua Pais Leme, 215, conj. 1713, Pinheiros, São Paulo, SP, 05424-150, Brasil. Somos la responsable de los datos de cuenta y de los contactos comerciales, y la encargada (operadora) de los datos que las empresas clientes ponen en Radar de conversión, como explican las secciones siguientes.
Tratamos datos personales conforme a la Ley General de Protección de Datos de Brasil (LGPD, Ley 13.709/2018) y, para clientes en la Unión Europea, el Reino Unido y México, conforme al GDPR, al UK GDPR y a la LFPDPPP en lo que corresponda.
Esta versión en español cubre Radar de conversión y la cuenta. Las secciones sobre Turbo (incluido WhatsApp), vacantes, encuesta y ofertas están en las versiones en portugués e inglés de esta política, que prevalecen sobre este texto en caso de diferencia.
Radar de conversión: quién decide sobre los datos
Radar de conversión es un software para empresas. Los datos que la empresa cliente pone en él (los totales por mes y etapa del camino, las solicitudes que hace y su equipo) son de la empresa. Para esos datos la empresa es la responsable (controller) y GrowRockets es la encargada (processor): los tratamos solo para prestar el servicio, según las instrucciones de la empresa, bajo el Acuerdo de tratamiento de datos (DPA) en /es/dpa.
Somos responsables de los datos de cuenta de quienes usan Radar (correo, nombre, rol en la empresa), de los contactos comerciales dejados en la demostración, de los registros de seguridad y de las solicitudes de privacidad. Para esos datos, esta política rige directamente entre tú y GrowRockets.
Radar no guarda datos personales de los clientes de tu empresa. Guarda solo totales (cuántas personas se registraron, empezaron a usarlo, pagaron y renovaron cada mes). La hoja de cálculo se lee en tu navegador y nunca se sube a nuestros servidores.
Para qué usamos los datos y con qué base legal
Cada uso tiene una base legal en la LGPD de Brasil (art. 7) y, para quienes están en la Unión Europea o el Reino Unido, en el GDPR y el UK GDPR (art. 6). Para México, la base es la LFPDPPP: el consentimiento y la relación jurídica con la empresa, con los avisos de privacidad que esta política cumple.
| Para qué | Datos | LGPD | GDPR |
|---|---|---|---|
| Crear la cuenta, entrar y usar Radar | Correo, nombre, rol en la empresa | Art. 7, V (contrato) | Art. 6(1)(b) |
| Mostrar dónde se traban las personas y las correcciones | Totales por mes y etapa, solicitudes | Art. 7, V (contrato) | Art. 6(1)(b) |
| Invitar a colegas y enviar avisos del servicio | Correo de quien recibe la invitación, texto del aviso | Art. 7, V (contrato) | Art. 6(1)(b) |
| Responder a quien pidió ver Radar con su propia empresa | Nombre, correo, empresa, sitio, dónde más pierde | Art. 7, IX (interés legítimo, contacto comercial entre empresas) | Art. 6(1)(f) |
| Proteger el servicio: límites de uso, antirrobots, registros de error | IP, señales del navegador, mensajes de error sin datos personales | Art. 7, IX (interés legítimo) | Art. 6(1)(f) |
| Medir el uso de la app y del sitio | Clics y pantallas vistas | Art. 7, I (consentimiento) | Art. 6(1)(a) |
| Atender solicitudes de privacidad y guardar la prueba | Hash del identificador, fecha, tipo de solicitud | Art. 7, II (obligación legal) y art. 37 | Art. 6(1)(c) y art. 5(2) |
| Guardar facturas y registros contables, cuando hay cobro | Datos de cobro | Art. 7, II (obligación legal) | Art. 6(1)(c) |
No pedimos datos personales sensibles (LGPD art. 11, GDPR art. 9) y Radar no tiene campo para ellos. Si escribes algo así en un campo libre, como la nota de una solicitud, tómalo como un error y avísanos para borrarlo.
Qué guarda Radar
Un resumen de lo que existe y de dónde viene:
- Cuenta: correo, nombre (si lo das) y fecha del último acceso, en el inicio de sesión de Supabase.
- Empresa: nombre, el rol de cada persona (dueño, admin, gerente, miembro, solo lectura) y la configuración de Radar (avisos, idioma, ticket promedio).
- Totales: el número de personas por mes y etapa (registro, activación, pago, renovación). Solo números.
- Solicitudes: conexión de cobro, misión aprobada y el punto de partida del escaneo de ingresos (ticket promedio, rango y confianza).
- Invitaciones de equipo: correo de quien recibe la invitación, rol y vigencia de 7 días.
- Contacto de la demostración: nombre, correo, empresa, sitio y el texto de dónde más pierde la empresa.
- Notas que envías por el botón de comentarios, que llegan como correo a nuestro equipo.
Qué nunca guarda Radar
- Nombre, correo, teléfono, documento de identidad o cualquier identificador de los clientes de tu empresa.
- El archivo de la hoja de cálculo: se lee en tu navegador y solo los totales por mes siguen al servidor.
- Números de tarjeta (van directo a Stripe, cuando hay cobro) ni contraseñas en texto plano.
- Eventos brutos de analítica de ninguna herramienta.
Cuánto tiempo los guardamos
Plazos de Radar. Los de otros módulos están en las secciones de arriba.
| Dato | Plazo |
|---|---|
| Cuenta (correo y nombre) | Mientras exista la cuenta. Se elimina al instante cuando borras la cuenta |
| Totales por mes y etapa, solicitudes de conexión y misiones de la empresa | Mientras exista la empresa. Cuando la última persona dueña borra la cuenta y confirma, salen al instante; el resto de la empresa sale en 7 días |
| Contacto dejado en la demostración (nombre, correo, empresa) | Hasta 24 meses, se borra solo cada semana. Antes, si lo pides |
| Escaneo de ingresos (sitio, totales escritos, resultado y correo de quien pidió el informe) | 365 días de guarda; después de eso los datos se borran de nuestra base. La IP se guarda solo como hash (código irreversible). El escaneo no guarda datos personales más allá del correo escrito y los números informados. Cuando hubo una reserva pagada, el registro queda como comprobante del pago, sin la IP |
| Invitaciones de equipo | La invitación vale 7 días. La que no se aceptó se borra 30 días después de vencer |
| Registro de solicitudes de privacidad (exportar, corregir, borrar) | 5 años, para demostrar que la solicitud se atendió. Guarda solo un hash irreversible de tu identificador, nunca correo ni nombre |
| Solicitudes del cuestionario de seguridad | Solo en el correo de nuestro equipo, sin base de datos. Lo borramos si lo pides |
| Reportes de error (Sentry) | Por el plazo estándar del plan del proveedor, que hoy es de 90 días. Sin cuerpo de solicitud ni correo |
Subencargados de Radar
Contratamos los servicios de abajo para tratar datos de Radar. La tabla muestra qué recibe cada uno y dónde está.
| Empresa | Para qué | Datos | Dónde |
|---|---|---|---|
| Supabase | Base de datos, inicio de sesión y almacenamiento de archivos | Cuenta, totales por mes, solicitudes, invitaciones y contactos comerciales | Brasil (São Paulo) |
| Vercel | Alojamiento del sitio y de las funciones del servidor | Todo lo que pasa por la app, en tránsito, y los registros de acceso | Funciones en São Paulo; páginas estáticas por la red global de entrega |
| Resend | Envío de correos: invitaciones de equipo y avisos | Correo y nombre de quien recibe, y el texto del aviso | Estados Unidos |
| Sentry | Monitoreo de errores | Mensaje y lugar del error. Sin cuerpo de la solicitud, sin cookies y sin correo (se eliminan antes del envío) | Estados Unidos |
| Cloudflare (Turnstile) | Verifica que quien envía un formulario público es una persona | Señales del navegador y dirección IP, solo en los formularios públicos | Estados Unidos y red global |
| PostHog | Estadísticas de uso de la app y del sitio | Clics y pantallas vistas, solo después de tu consentimiento. Nunca en la demostración | Estados Unidos |
| Anthropic | Responde las preguntas hechas a Rocky en la demostración y lee el sitio en el escaneo de ingresos | Totales y texto público: la pregunta y los números de la pantalla de la demostración; en el escaneo, el texto de la página de inicio del sitio y los totales escritos. Sin nombre ni correo | Estados Unidos |
| Stripe | Pago con tarjeta, cuando la empresa contrata un plan de pago | Datos de cobro. El número de la tarjeta va directo a Stripe y nunca pasa por nuestros servidores | Estados Unidos y UE |
Estos tres actúan solo en ciertas condiciones: PostHog después de tu consentimiento, Anthropic cuando alguien le pregunta a Rocky en la demostración o hace el escaneo de ingresos, y Stripe cuando la empresa contrata un plan de pago.
Lo que enviamos a un proveedor de IA son totales de la empresa y texto público, nunca datos personales. Hoy eso pasa en dos lugares, los dos con Anthropic (Estados Unidos). En Rocky, el asistente de la demostración, van la pregunta y los números de la pantalla: de las empresas de ejemplo, que son ficticias, o los que la propia persona escribió. No guardamos la pregunta ni la respuesta; solo contamos cuántas preguntas hubo por día, sin saber de quién. En el escaneo de ingresos, van el texto público de la página de inicio del sitio y los totales escritos (registros, pagantes y ticket promedio); el correo de quien pide el informe no va. Los totales de una empresa conectada a Radar no van a ningún proveedor de IA. Si eso cambia, seguirán yendo solo totales, sin datos personales, y la empresa recibirá el aviso antes, como dice el DPA. Otros módulos de GrowRockets (Turbo e Ignite) también usan Anthropic, y OpenAI (Estados Unidos) para transcribir audio.
Cuando entra un subencargado nuevo o sale uno actual, avisamos a la empresa cliente por correo antes del cambio. Puede oponerse por escrito (ver /es/dpa).
Transferencias internacionales
Los datos de Radar se guardan en São Paulo. Algunos subencargados están en Estados Unidos y tratan datos allá, como Resend y Sentry. Esas transferencias siguen el acuerdo de tratamiento de datos y las cláusulas de transferencia de cada proveedor. Quien necesite cláusulas firmadas con GrowRockets las acuerda en la propuesta.
No afirmamos que Brasil tenga una decisión de adecuación en toda la Unión Europea. Cuando un proveedor participa en el EU-US Data Privacy Framework, lo aceptamos como complemento de las cláusulas, no en su lugar.
Seguridad
Lo que hacemos hoy para proteger los datos. La página /es/seguranca explica cada punto en lenguaje sencillo.
- Cada empresa ve solo sus propios datos: la base de datos aplica el acceso por empresa en cada tabla (row-level security) y probamos que una empresa no lee, no modifica y no borra datos de otra
- Conexión cifrada (HTTPS) en todo el sitio, con HSTS de 2 años, y datos cifrados en reposo por el proveedor de la base de datos
- Claves de API y tokens de integración cifrados con AES-256 antes de entrar a la base de datos, con la clave guardada fuera de ella
- Acceso por enlace o código enviado al correo, o por cuenta de Google, con roles dentro de la empresa (dueño, admin, gerente, miembro y solo lectura) verificados en el servidor en cada solicitud
- Política de seguridad de contenido (CSP) con un código nuevo por página, encabezados contra clickjacking y detección de tipo de archivo, y protección contra solicitudes de otros sitios en las acciones que cambian datos
- Límite de solicitudes por persona y por red, verificación antirrobots y campo trampa en los formularios públicos
- Reportes de error sin cuerpo de solicitud, cookies, correo ni variables del código, eliminados antes de salir del servidor
- Secretos solo en el servidor: ninguna clave secreta llega al navegador, y pruebas automáticas lo verifican
No tenemos certificación SOC 2 ni ISO 27001. Nuestros controles siguen la misma línea que esas normas y no afirmamos ninguna certificación.
Tus derechos y cómo ejercerlos
Según la LGPD (art. 18), el GDPR y el UK GDPR (arts. 15 a 22), y como principio también según la LFPDPPP (México, derechos ARCO), puedes:
- Saber si tratamos datos tuyos y recibir una copia, en un archivo que abre cualquier programa (JSON).
- Corregir datos erróneos o desactualizados.
- Borrar tu cuenta y tus datos, o pedir el bloqueo o la anonimización de lo excesivo.
- Llevar tus datos a otro servicio.
- Oponerte al uso por interés legítimo y retirar el consentimiento en cualquier momento.
- No recibir un trato discriminatorio por ejercer un derecho. No vendemos datos personales. Si aceptas las cookies en el sitio, el píxel de Meta y Google Ads miden las visitas que llegaron por nuestros anuncios. Para apagarlo, rechaza en el aviso de cookies o en el enlace "Cookies" del pie de página.
- En el propio producto, al instante: en Configuración de Radar, en la sección "Privacidad y datos", descargas tus datos, corriges tu nombre y borras tu cuenta. Dueños y admins también descargan los datos de la empresa.
- Por correo: privacidade@growrockets.com. Respondemos en un máximo de 15 días, antes si podemos.
- Si la solicitud viene de tu empresa sobre datos de sus clientes, la empresa es la responsable y habla con nosotros por el DPA.
Puedes presentar una queja ante la Autoridad Nacional de Protección de Datos de Brasil (ANPD, gov.br/anpd), ante la autoridad de protección de datos de tu país en la Unión Europea o, en México, ante la autoridad competente en materia de datos personales.
Encargado de datos (DPO)
El encargado del tratamiento de datos personales es Rony Lussari. Escribe al encargado a privacidade@growrockets.com (o rony@growrockets.com). Los clientes en la Unión Europea que necesiten un representante local pueden escribir a la misma dirección.
Incidentes de seguridad
Si un incidente afecta datos personales, avisamos a la empresa cliente sin demora indebida y, cuando somos los responsables, comunicamos a la ANPD y a las personas afectadas en el plazo que fija la ley (hoy la ANPD fija 3 días hábiles; el GDPR pide avisar a la autoridad en un máximo de 72 horas desde que lo sabemos). El aviso dice qué pasó, qué datos, qué ya hicimos y qué puede hacer la persona.
Menores
Radar es de uso profesional y no está dirigido a menores de 18 años. No recopilamos datos de menores a propósito. Si encontramos alguno, lo borramos.
Cookies y almacenamiento local de Radar
Radar usa solo lo necesario para funcionar y recordar tus elecciones. Ninguna cookie de publicidad.
| Nombre | Para qué | Duración | Tipo |
|---|---|---|---|
sb-…-auth-token | Sesión: te mantiene conectado después del enlace de acceso (Supabase) | Mientras dure la sesión; se renueva en cada acceso | Esencial |
turbo_org | Recuerda qué empresa estás viendo cuando participas en más de una. Solo la lee el servidor; el acceso siempre se verifica en la base de datos | 180 días | Esencial |
gr_demo_senha | Recuerda que escribiste la contraseña de la demostración con los números de tu empresa. Guarda solo una firma, nada tuyo | 30 días | Esencial |
radar_locale | Idioma y moneda que elegiste (portugués, inglés o español) | 1 año | Preferencia |
gr-theme (armazenamento local) | Tema claro u oscuro. Queda solo en tu navegador y no se envía | Hasta que limpies el navegador | Preferencia |
cookie-consent (armazenamento local) | Guarda si aceptaste o rechazaste las cookies de medición, para no preguntar de nuevo | Hasta que limpies el navegador | Esencial |
La demostración (/demo y /exemplos/radar) se abre con tu cuenta, como el resto de la app, y vale el mismo aviso de cookies. La medición de uso en la app solo empieza después de que aceptes en el aviso de cookies.
Cookies de medición del sitio
En el sitio público usamos herramientas de medición (PostHog, Google Analytics, Metricool y Vercel Speed Insights) y las cookies de medición de anuncios de Meta (píxel de Meta) y de Google (Google Ads), que nos dicen si una visita, un registro o una compra vino de un anuncio nuestro. No les enviamos tu nombre, correo ni teléfono. Todas cargan solo después de que aceptes el aviso de cookies, con una excepción: si rechazas o no respondes, PostHog sigue contando visitas y clics sin cookies, sin grabar la sesión y con un código anónimo que cambia cada día y no se vincula a tu nombre, correo ni teléfono. Si rechazas, todo lo demás queda apagado y solo funcionan las cookies esenciales. Puedes cambiar tu elección cuando quieras en las , que también están en el pie de página.
Contacto
GrowRockets Consultoria em TI Ltda · CNPJ 67.546.427/0001-60
Rua Pais Leme, 215, conj. 1713, Pinheiros, São Paulo, SP, 05424-150, Brasil
Dudas sobre privacidad: privacidade@growrockets.com
Encargado del tratamiento de datos personales (DPO): Rony Lussari, rony@growrockets.com