Política de tratamiento de datos personales

Última actualización: 19 de octubre de 2026

1. Responsable

El responsable del tratamiento es la marca Aura Studio, que opera el sitio aurathinking.com. El canal para consultas, reclamos, revocatoria y el ejercicio de derechos es hello@aurathinking.com.

Este texto no publica NIT, dirección ni número de cédula. Esos datos se completan solo si la asesoría legal lo pide.

La ley de base es la colombiana: Ley 1581 de 2012 y Decreto 1377 de 2013. La autoridad de protección de datos en Colombia es la Superintendencia de Industria y Comercio (SIC). Las secciones 8, 9 y 10 explican cómo se atienden, con el mismo correo, a personas en el resto de América Latina, en el Espacio Económico Europeo o el Reino Unido, y en Estados Unidos.

2. Qué datos recoge el sitio

Solo se tratan los datos que la persona entrega o que el propio envío genera. No se piden datos sensibles.

Solicitud de diagnóstico (modal de contacto): nombre, correo, sitio web, y si la persona los escribe, empresa, mensaje, preocupación, servicio de interés y WhatsApp.
Boletín: correo, y la prueba de la autorización. La suscripción solo queda activa cuando la persona confirma el correo, y el envío a Brevo permanece apagado hasta que se encienda la bandera del servidor.
Prueba de la autorización, guardada por el servidor y no por el navegador: texto mostrado, versión (2026-10-13-diagnostico-v1 o 2026-10-13-boletin-v1), fecha, página de origen, parámetros UTM si vienen en el enlace, agente de usuario (máximo 512 caracteres) y un HMAC de la dirección IP con una sal secreta. La IP en claro no se guarda en la base.
Analítica, solo si la persona acepta y el navegador no envía Global Privacy Control ni Do Not Track: uso de páginas con Google Analytics 4 y Microsoft Clarity. El evento generate_lead se dispara solo después de un envío que el servidor contó, e incluye el identificador del formulario y la página de origen.

La casilla de autorización llega desmarcada. El silencio no es autorización. Si el campo oculto anti-bots viene lleno, el servidor responde como si todo estuviera bien y no guarda el envío.

3. Finalidades

Responder la solicitud de diagnóstico y escribir sobre ese servicio.
Enviar el boletín Aura Thinker, al inicio cada dos semanas, y ofertas de servicios, solo con la casilla del boletín y la confirmación del correo.
Medir el uso del sitio, solo con la aceptación de analítica y sin señal de rechazo del navegador.
Proteger los formularios: Cloudflare Turnstile, Vercel BotID en nivel básico, límite de tres envíos cada diez minutos por hash de IP o por correo, y descarte de dominios desechables o sin correo válido.

4. Encargados

La tabla siguiente sale del código de este sitio. El repositorio no fija la región de los servidores: la elige la cuenta de cada proveedor. Por eso la última columna no inventa una ciudad.

Nombre	Para qué	Qué datos	País de servidores
Vercel	Aloja el sitio y ejecuta las rutas POST /api/lead y POST /api/newsletter.	Mientras atiende la petición ve la IP, las cabeceras y el cuerpo del formulario. No es la base donde quedan guardados.	No está fijado en el código.
Vercel BotID	Comprobación básica de bots en esos dos POST. El script del cliente se monta en cada página después de que el navegador queda libre, o al primer toque.	Señales técnicas del reto de BotID. El código no guarda un identificador de BotID en la base.	No está fijado en el código. Corre con Vercel.
Supabase	Base prevista para diagnostico_solicitudes y newsletter_autorizaciones, con la llave de servicio solo en el servidor. El archivo SQL está en el repositorio y todavía no está aplicado.	Los campos de la sección 2: nombre, correo, sitio, empresa, mensaje, preocupación, servicio, WhatsApp, autorización, versión del texto, boletín, página, UTM, hash de IP, agente de usuario, origen y estado. En el boletín, también si el envío a Brevo salió.	La URL del proyecto es una variable de entorno. El código no elige región.
Cloudflare Turnstile	Comprueba que el envío no es automático. El widget se carga solo si la sección de boletín entra en pantalla o si se abre el modal.	El servidor envía a siteverify el token, el secreto y la IP (remoteip), y revisa éxito, hostname y acción (lead o newsletter).	La llamada va a challenges.cloudflare.com. El código no elige región.
Google Analytics 4	Medición de uso. El script no está en el HTML inicial: se inserta solo tras aceptar la analítica y sin señal GPC o Do Not Track.	Identificador de medición, páginas vistas y, si el envío se contó, el evento generate_lead con el formulario y la página de origen. Publicidad denegada.	No está fijado en el código.
Microsoft Clarity	Sesiones de uso, con la misma condición que Analytics. Los formularios llevan data-clarity-mask.	Proyecto de Clarity e interacción con la página. El código deja la publicidad en denied y la analítica en granted solo tras aceptar.	No está fijado en el código.
Brevo	Doble confirmación del boletín. Solo si BREVO_NEWSLETTER_ENABLED es true. Con la bandera apagada no se llama a Brevo; el correo puede quedar en newsletter_autorizaciones con brevo_enviado en falso, cuando la base esté activa.	Correo, identificador de lista, identificador de plantilla y URL de redirección.	La llamada va a api.brevo.com. El código no elige región.

Sanity (proyecto 3y7qctak) es el CMS del blog. El sitio público solo lee contenido editorial ya publicado. Los formularios no envían nombre, correo ni otros datos de la persona a Sanity, así que no es un encargado de esos datos. Las imágenes públicas, como el logo, se cargan desde un almacenamiento de Supabase distinto; ese uso no recibe los datos de los formularios.

Algunos encargados están fuera de Colombia. Aura Studio les entrega solo lo necesario para la finalidad de su fila. Para personas en el EEE o el Reino Unido, la transferencia internacional se apoya en cláusulas contractuales tipo cuando la ley lo exige. Esos contratos no están en este repositorio.

5. Conservación

El código no borra las filas solo. No hay fecha de caducidad en las tablas ni un trabajo de supresión. Cada registro permanece mientras la finalidad siga vigente y hasta que la persona pida la supresión o Aura Studio lo borre.

El tope de tres envíos en diez minutos solo cuenta filas recientes para frenar abusos. No las elimina cuando pasan esos diez minutos.
Un índice único impide otro registro del mismo correo en el mismo día calendario de América/Bogotá. Al día siguiente puede haber un registro nuevo. Los anteriores siguen.
El hash de la IP no se puede revertir en la aplicación. Cambiar la sal del servidor reinicia esa identidad para el límite de envíos; no recupera la IP.
La decisión de cookies (localStorage, clave aura-consent-v1) vive en ese navegador hasta que la persona borra los datos del sitio. El código no le pone vencimiento.
Las cookies que escriban Turnstile, BotID, Google o Microsoft duran lo que documenta cada proveedor. Este código no fija esas fechas. El detalle está en la política de cookies.

6. Derechos en Colombia (ARCO)

La persona titular puede, de forma gratuita:

Conocer, acceder, actualizar y rectificar sus datos.
Solicitar prueba de la autorización.
Ser informada del uso que se les ha dado.
Presentar quejas ante la SIC por infracciones a la Ley 1581 de 2012.
Revocar la autorización y pedir la supresión, cuando no exista un deber legal o contractual de permanecer en la base (Ley 1581 de 2012, artículo 9, y Decreto 1377 de 2013).

7. Procedimiento y plazos

La solicitud se envía a hello@aurathinking.com e indica el nombre, cómo contactar a la persona, qué pide y, si aplica, los documentos que la sustentan. El trámite es gratuito. No hay otro canal publicado en esta política.

Consultas (conocer y acceder): máximo diez (10) días hábiles. Si no es posible, se informa el motivo y la fecha, dentro de los cinco (5) días hábiles siguientes (Ley 1581 de 2012, artículo 14).
Reclamos (corregir, actualizar, suprimir o revocar): máximo quince (15) días hábiles. Si el reclamo está incompleto, se piden los faltantes dentro de los cinco (5) días siguientes a recibirlo; si no se completan, se entiende desistido. Si no es posible responder a tiempo, se informa el motivo y hay ocho (8) días hábiles adicionales (Ley 1581 de 2012, artículo 15).

Si la respuesta no llega en esos plazos, la persona puede acudir a la SIC.

8. América Latina

Quien viva en otro país de América Latina puede usar el mismo correo para pedir acceso, actualización, rectificación, supresión u oposición. La ley de base de esta política es la colombiana. Esta página no sustituye el estatuto de protección de datos de cada país ni nombra una autoridad distinta de la SIC.

9. Europa (RGPD)

Para personas en el Espacio Económico Europeo o el Reino Unido, estas son las bases del artículo 6 del RGPD según la finalidad:

Consentimiento: formulario de diagnóstico, boletín y cookies de analítica.
Medidas precontractuales pedidas por la persona: responder la solicitud de diagnóstico. En Colombia, además, hace falta la casilla de autorización.
Interés legítimo: Turnstile, BotID, el hash de IP y el límite de envíos, para frenar abuso. No se usa interés legítimo para el boletín ni para la analítica.

La persona puede pedir, frente a Aura Studio:

Acceso, rectificación y supresión.
Limitación del tratamiento y oposición.
Portabilidad de los datos que ella misma entregó y que se tratan por consentimiento o por la solicitud.
Retirar el consentimiento, sin que eso afecte el tratamiento hecho antes. El boletín y la analítica paran hacia adelante.
Reclamar ante la autoridad de control de su país. Esta política no designa una autoridad líder ni un representante en la Unión Europea.

Las transferencias fuera del EEE usan cláusulas contractuales tipo cuando hacen falta. Aura Studio no afirma en esta página tener un representante del artículo 27 del RGPD.

10. Estados Unidos (CCPA/CPRA)

Esta sección es corta y voluntaria. No afirma que Aura Studio supere los umbrales de la ley de California.

Categorías que el sitio puede recoger:

Identificadores: nombre, correo y, si la persona lo escribe, teléfono o WhatsApp.
Actividad en internet: página de origen, UTM, agente de usuario y hash de la IP. La IP en claro se usa en la petición y en la verificación de Turnstile; la base guarda el hash.
Información comercial, solo si la persona la escribe: sitio web, empresa, servicio de interés, preocupación o mensaje.

Aura Studio no vende información personal ni la comparte para publicidad de comportamiento cruzado. El código deja el almacenamiento publicitario en denied y no carga píxeles de anuncios.

La persona puede pedir saber, borrar y corregir, al mismo correo. Ejercer el derecho no cambia el precio ni el acceso al sitio. Si el navegador envía Global Privacy Control, la analítica no se activa, aunque antes se hubiera aceptado en este navegador.

11. Vigencia

Última actualización: 19 de octubre de 2026. Cristina aprobó este texto. Las páginas se indexan salvo que PUBLISH_LEGAL_PAGES sea false. Los derechos de las secciones 6 a 10 se ejercen por el correo de contacto.

También está la política de cookies y la página privacy anterior del sitio.