Pendiente de aprobación formal. Versión preparada para revisión y firma de Mario Andrés Granada, responsable del tratamiento. No sustituye asesoría jurídica externa ni activa LEGAL_REVIEW_COMPLETE hasta aprobación explícita documentada. Las notas de revisión jurídica pendiente en transferencias internacionales requieren validación profesional.

Política de tratamiento de datos personales

Servicio: ATOM Web Audit · Versión del aviso (formulario): 2026-11-04 · Noviembre 2026 · Autorizaciones con versión 2026-11-01 conservadas en base de datos.

1. Responsable del tratamiento

Marca comercial: ATOM Studio (no constituida como sociedad; operada por persona natural).
Responsable del tratamiento: Mario Andrés Granada, persona natural.
Domicilio: Sabaneta, Antioquia, Colombia.
Dirección de contacto: Carrera 32 # 77 Sur - 205.
Teléfono: +57 320 781 1182
Correo de contacto para protección de datos: andresgranada0878@gmail.com

2. Datos personales que recopilamos

Correo electrónico (obligatorio para enviar el informe).
Nombre (opcional).
URL de la página web que solicita auditar.
Consentimiento para realizar la auditoría y enviarte el informe solicitado, con versión del aviso aceptada y fecha/hora de registro.
Resultados técnicos de la auditoría asociados a la solicitud (puntuaciones, hallazgos, métricas).
Datos técnicos de conexión (p. ej. dirección IP) usados en el momento de la solicitud para limitación de tasa y verificación antibot mediante servicios de Cloudflare. Según la implementación actual, no se almacenan en la base de datos D1 de ATOM Web Audit; Cloudflare puede tratarlos conforme a sus propias políticas en la red y en Turnstile.

3. Finalidades

Ejecutar la auditoría web gratuita (móvil y escritorio) solicitada.
Generar y mostrar el informe y enviarlo al correo indicado con enlace privado al informe completo.
Incluir en ese mismo correo una invitación informativa a contactar a ATOM Studio para crear o mejorar una página web, con enlaces a la web y redes verificadas. No enviamos campañas, newsletters ni correos comerciales posteriores.
Seguridad, prevención de abuso y mejora operativa del servicio.

4. Almacenamiento de solicitudes y auditorías

Los datos se almacenan en Cloudflare D1 (tablas audits, leads y audit_email_deliveries), asociados a un identificador de auditoría. Los tokens de acceso al informe y de seguimiento de la solicitud se guardan como resúmenes criptográficos (hash SHA-256), no en texto claro. Los trabajos de análisis pueden procesarse mediante colas de Cloudflare; no implica borrado automático de los registros al finalizar el informe.

5. Encargados, terceros y tratamiento internacional

El responsable del tratamiento es Mario Andrés Granada (sección 1). Los proveadores siguientes intervienen según el funcionamiento actual del servicio. La calificación jurídica definitiva (encargado, responsable conjunto o tercero independiente) debe validarse con abogado (revisión jurídica pendiente).

5.1. Roles según función

Cloudflare, Inc. — Alojamiento del sitio estático, ejecución del Worker, colas de trabajo, base de datos D1, limitación de tasa por dirección IP (CF-Connecting-IP) y, cuando está configurado, widget Turnstile. Actúa como proveedor de infraestructura y seguridad; ATOM Web Audit no controla la ubicación exacta de cada nodo de red.
Resend, Inc. — Envío del correo transaccional con enlace al informe (destinatario, nombre si lo indicó, asunto, cuerpo HTML/texto y URL del informe). Solo se invoca cuando el envío automático está habilitado y configurado (RESEND_API_KEY, REPORT_FROM_EMAIL).
Google LLC (PageSpeed Insights / Lighthouse) — ATOM Web Audit envía a la API pública únicamente la URL HTTP(S) pública que usted indica, la estrategia de dispositivo (móvil o escritorio), categorías Lighthouse y configuración regional (locale=es). No se envían su correo ni su nombre a Google en esta llamada. Google trata la URL y genera el análisis conforme a sus propias políticas; puede actuar como responsable autónomo respecto de ese tratamiento.
Cloudflare Turnstile — Recibe el token generado en el navegador, la clave secreta del servidor y, cuando está disponible, la dirección IP de la solicitud (remoteip) para verificación antibot. No se almacena el token Turnstile en D1.

5.2. Transferencias y transmisiones internacionales

Los proveadores anteriores pueden procesar información desde o hacia infraestructura fuera de Colombia (p. ej. Estados Unidos o la Unión Europea, según sus operaciones). Eso puede implicar transmisión o transferencia internacional de datos en los términos de la Ley 1581 de 2012 y el Decreto 1377 de 2013.

ATOM Web Audit no ha verificado en este repositorio la existencia de contratos de transmisión o cláusulas contractuales vigentes firmados con cada encargado (revisión jurídica pendiente).
No se declara aquí que exista un mecanismo de transferencia validado ante la Superintendencia de Industria y Comercio sin evidencia documental.
Se recomienda revisar las políticas y condiciones de tratamiento publicadas por Cloudflare, Resend y Google, y documentar la base legal aplicable antes del lanzamiento definitivo.

6. Derechos de los titulares

Conforme a la normativa colombiana de protección de datos (Ley 1581 de 2012 y decretos reglamentarios), usted puede solicitar, entre otros, conocer, actualizar, rectificar y suprimir sus datos, así como revocar la autorización y presentar consultas o reclamos, en los términos que la ley establece.

7. Procedimiento para consultas, reclamos y ejercicio de derechos

Puede contactarnos por los medios de la sección Protección de datos. Distinguimos consultas (preguntas sobre sus datos o esta política) y reclamos (inconformidad por presunto incumplimiento en el tratamiento).

7.1. Requisitos de la solicitud

Identificación del titular (nombre y documento de identidad cuando sea necesario para verificar la titularidad).
Descripción clara del derecho que desea ejercer (consulta, actualización, rectificación, supresión, revocación de autorización o reclamo).
Correo electrónico con el que solicitó la auditoría y, si la conoce, la URL analizada.
En reclamos, relación de hechos que motivan la inconformidad y documentos de soporte que considere pertinentes.
Medio de contacto para la respuesta (correo o dirección).

Si el reclamo está incompleto, podremos solicitar la información faltante dentro del plazo legal. Mientras no se subsane, el término de respuesta puede suspenderse conforme al artículo 15 de la Ley 1581 de 2012.

7.2. Plazos de respuesta (Ley 1581 de 2012)

Consultas: respuesta en un término máximo de diez (10) días hábiles contados desde la recepción. Si no fuera posible atenderla en ese plazo, se informará al titular antes de vencer, indicando los motivos y señalando una nueva fecha que en ningún caso superará cinco (5) días hábiles adicionales (artículo 14).
Reclamos: respuesta en un término máximo de quince (15) días hábiles contados desde la recepción. Si no fuera posible atenderlo en ese plazo, se informará al titular antes de vencer, indicando los motivos y señalando una nueva fecha que en ningún caso superará ocho (8) días hábiles adicionales (artículo 15).

Las ampliaciones solo proceden cuando existan causas justificadas en los términos de la ley. La respuesta indicará, cuando corresponda, las acciones adoptadas o la decisión motivada.

7.3. Pasos recomendados

Envíe su consulta o reclamo al correo indicado en Protección de datos.
Conserve el acuse o comprobante de envío.
Si no recibe respuesta en los plazos anteriores, podrá acudir a la Superintendencia de Industria y Comercio (SIC) conforme a la normativa vigente.

8. Vigencia, conservación y eliminación

Esta política permanece vigente mientras el servicio esté activo. ATOM Web Audit no utiliza sus datos para campañas, newsletters ni listas publicitarias.

8.1. Comportamiento actual (noviembre 2026)

Enlace privado al informe: caduca a los 30 días por defecto (REPORT_TOKEN_TTL_DAYS). Tras la caducidad, el acceso con el token se rechaza; los datos en base de datos pueden permanecer.
Correo único del informe: un envío transaccional por solicitud completada (resultados, recomendaciones, enlace, invitación a contactar ATOM Studio y enlaces a web/redes). No hay envíos comerciales posteriores automatizados.
Evidencia mínima del consentimiento: al enviar el formulario se intenta registrar una fila en D1 (consent_ledger) con versión del aviso, huella identificable del texto aceptado, fecha de aceptación e identificador seudonimizado (HMAC-SHA256 del correo, sin guardar el correo en esa tabla). Si el registro falla, la solicitud no continúa. Requiere CONSENT_LEDGER_HMAC_SECRET configurado en el entorno.
Eliminación automática programada: existe un módulo técnico (worker/data-retention.js) y un cron configurado en producción, pero la purga automática está desactivada (DATA_RETENTION_PURGE_ENABLED=false). Hasta activarlo con su aprobación, la conservación en D1 puede ser indefinida salvo solicitud manual del titular.

8.2. Política objetivo (pendiente de su aprobación y activación técnica)

Plazos previstos para alinear servicio y minimización de datos (detalle en docs/DATA-RETENTION-PROPOSAL.md):

30 días — acceso al informe privado (ya aplicado al enlace).
30 días — conservación operativa de resultados de auditoría asociados a la solicitud.
30 días — supresión o anonimización de correo y nombre cuando dejen de ser necesarios para la finalidad.
Hasta 24 meses — evidencia mínima del consentimiento (versión del aviso y fecha), preferiblemente sin correo, en registro separado; plazo sujeto a confirmación del responsable.

La evidencia mínima vive en consent_ledger (sin correo en claro). La purga del bundle operativo y la del ledger usan variables distintas y permanecen desactivadas hasta aprobación formal y verificación en dry-run.

8.3. Matriz de referencia

Categoría	Finalidad	Almacenamiento	Plazo implementado	Eliminación	Propuesta / validación
Datos de contacto (correo, nombre opcional, URL)	Ejecutar auditoría y entregar informe solicitado	D1 — tabla `leads`	Sin límite definido en software	Manual; purga automática desactivada	Objetivo: 30 días bundle operativo (pendiente activación)
Consentimiento informe (`consent_report`)	Prueba de autorización para tratamiento del informe	D1 — `leads` (operativo) + `consent_ledger` (evidencia mínima)	Ledger al registrar solicitud; sin plazo de borrado automático activo	Manual; revocable conforme a ley; purga ledger desactivada	Ledger: hasta 24 meses propuestos (aprobación formal pendiente)
Campo legacy `consent_marketing`	Solo registros antiguos (servicio ya no ofrece suscripción a campañas)	D1 — `leads`	Sin límite definido; nuevos registros se guardan en `0`	Manual; sin uso para envíos masivos	Retención acotada / anonimización (revisión jurídica pendiente)
Versión y fecha del aviso	Demostrar qué texto aceptó el titular	D1 — `leads` + `consent_ledger` (`notice_fingerprint`, versión, `accepted_at`)	Registro en ledger al enviar formulario; lead conserva copia operativa	Purga automática desactivada	Ledger: hasta 24 meses propuestos (aprobación formal pendiente)
Evidencia mínima (`consent_ledger`)	Constancia sin correo en claro; vinculación HMAC para solicitudes del titular	D1 — `consent_ledger`	Sin borrado automático activo	Purga ledger independiente del bundle; desactivada	730 días (`DATA_RETENTION_CONSENT_LEDGER_DAYS`, pendiente activación)
Resultados de auditoría e informe	Mostrar informe, reutilizar auditoría completa misma URL+correo, envío por correo	D1 — `audits` (`report_json`, `analysis_json`, puntuaciones, hallazgos)	Sin límite definido	Manual; no hay purga automática	Objetivo: 30 días (pendiente activación)
Token privado del informe	Acceso autenticado a `/informe/{token}`	D1 — hash y `report_token_expires_at`	Validez del enlace: configurable (30 días por defecto)	Tras caducidad, el acceso por token se rechaza; el hash puede permanecer en D1	Evaluar borrado del hash al expirar (revisión jurídica pendiente)
Token de seguimiento de solicitud	Consultar estado del análisis en curso	D1 — `request_token_hash`	Sin caducidad automática en código	Manual	Definir TTL técnico (revisión jurídica pendiente)
Estado de envío de correo	Idempotencia, reintentos, soporte operativo	D1 — `audit_email_deliveries`	Sin límite definido	Manual	Plazo operativo acotado (revisión jurídica pendiente)
Campo operativo `commercial_status`	Estado interno legacy; no implica campañas de correo	D1 — `leads`	Sin límite definido	Manual	Alinear con retención de solicitudes (revisión jurídica pendiente)
Registros de seguridad (IP en rate limit / Turnstile)	Prevención de abuso	Cloudflare (no D1); logs Worker sin PII en diagnóstico PSI	Según políticas Cloudflare	No gestionado por ATOM Web Audit	Documentar con proveedor (revisión jurídica pendiente)
Contenido en correo (Resend)	Entrega del enlace al informe	Infraestructura Resend	Según políticas Resend	No controlado directamente por ATOM	Revisar DPA Resend (revisión jurídica pendiente)

Puede ejercer sus derechos en cualquier momento conforme a la sección 7. La eliminación manual atenderá su solicitud con los medios técnicos disponibles en el momento de la petición.

9. Consentimiento

Para solicitar la auditoría debe marcar la casilla de consentimiento expresa para el tratamiento de sus datos con la finalidad de analizar la URL indicada y enviarle el informe al correo proporcionado. El texto del formulario informa que el correo del informe incluye una invitación a conocer los servicios de ATOM Studio, sin suscripción a campañas futuras.

No existe opción de inscripción a newsletters ni comunicaciones comerciales recurrentes en el formulario actual.

10. Contacto

Protección de datos y ejercicio de derechos

Correo: andresgranada0878@gmail.com
Teléfono: +57 320 781 1182
Dirección: Carrera 32 # 77 Sur - 205, Sabaneta, Antioquia, Colombia.

Servicios comerciales ATOM Studio

La relación comercial se inicia cuando usted contacta a ATOM Studio (p. ej. formulario en atomstudiomed.space). El informe por correo incluye una invitación informativa y enlaces verificados; no constituye suscripción a mensajes posteriores.