Seguridad
Privado por defecto, y claro con las decisiones que son tuyas
Esta página describe cómo trata el producto tus datos y los de tus visitantes ahora mismo, incluidos los ajustes que decides tú. Sin hoja de ruta, sin promesas, sin afirmaciones de certificación.
Qué hace el producto con tus datos
Estos son los controles que hay en el producto tal y como está hoy.
Sin cookies, y almacenamiento solo si tú lo eliges
El script nunca pone una cookie. Por defecto tampoco guarda nada en el navegador del visitante: un visitante se reconoce durante un día mediante un hash con clave de la fecha, la web, su dirección IP y su user-agent. Solo se guarda el hash, que cambia cada día y es distinto en cada web, así que nadie puede ser seguido entre días ni entre webs. Si eliges "Con almacenamiento" al instalar el fragmento, guarda un ID aleatorio en el localStorage del visitante para reconocer a quien vuelve en días distintos. Es decisión tuya y, según dónde estéis tú y tus visitantes, puede requerir su consentimiento.
Qué registra una visita a página
La ruta, el referente, un dispositivo, navegador y sistema aproximados, una de cuatro franjas de ancho de pantalla, un país según la propia consulta del edge y las tres etiquetas de campaña UTM. Ni la cadena de consulta completa, ni la dirección IP, ni la cadena de user-agent: esas dos se leen en memoria para la clave diaria de visitante y un límite de frecuencia de un minuto, y después se descartan.
Los bots y los fragmentos copiados se descartan
Los rastreadores y los navegadores headless o automatizados se tiran en lugar de guardarse. Una visita solo cuenta si viene del dominio que añadiste o de uno de sus subdominios, así que un fragmento copiado no puede llenar tu panel de tráfico inventado, y una misma dirección puede enviar como máximo 120 visitas por minuto a una web. Eso frena las copias y las avalanchas, no a un falsificador decidido con un script, un límite que comparte cualquier herramienta de analítica con etiqueta de script.
Nada que entregar, nada que se quede atrás
Lomen mide tu web con una sola etiqueta de script que añades tú: sin clave de API, sin cuenta que conectar y sin acceso de escritura a nada de lo que es tuyo. Quita la etiqueta y la recogida se detiene al momento. Elimina la web en Lomen y todo su historial de visitas se borra con ella, sin esperar a una solicitud de soporte.
Claves de ingresos: solo lectura, cifradas, eliminables
Mostrar tus ingresos es opcional. Stripe solo acepta una clave restringida; una clave secreta completa, que puede mover dinero, la rechazan la app y la base de datos. Las claves de Stripe, Shopify, Lemon Squeezy y Polar se comprueban primero con el proveedor, se guardan cifradas en la bóveda de la base de datos y nunca se devuelven a tu navegador. Lomen solo lee pagos y pedidos, y al desconectar se borran la clave y el historial obtenido. YouTube y X se conectan por su nombre de usuario público, así que no hay ningún token que guardar.
Seguridad a nivel de fila en nuestra base de datos
Todas las tablas están protegidas con seguridad a nivel de fila. Solo puedes leer tus propias webs, visitas, cifras de ingresos y tu fila de facturación. Los campos de facturación privilegiados están protegidos por un trigger SECURITY DEFINER para que no puedan modificarse desde una sesión de cliente, y las claves de pago solo pueden leerse a través de una función que rechaza a cualquiera salvo a su dueño.
Lomen AI ve totales, no visitantes
Cuando Lomen AI responde a una pregunta, el modelo Gemini de Google recibe las cifras agregadas del periodo elegido: totales, páginas principales, fuentes, países, dispositivos, tus ingresos por día si conectaste un proveedor de pagos y los títulos de las publicaciones públicas de una cuenta de YouTube o X conectada. Nunca visitas individuales, claves de visitante ni credenciales. Cada número que escribe se comprueba contra esas cifras antes de que lo veas.
Claude y ChatGPT solo con tu aprobación
El servidor MCP de Lomen permite que un asistente como Claude o ChatGPT lea tus estadísticas. Inicia sesión con OAuth, así que no puede acceder a nada hasta que apruebas el asistente en la propia pantalla de consentimiento de Lomen, y entonces solo a tus propias webs, mediante herramientas de solo lectura. No puede cambiar un ajuste, añadir o quitar una web ni tocar tus conexiones de ingresos.
Alojamiento gestionado en la nube con TLS
La web, el endpoint de seguimiento y la base de datos funcionan sobre infraestructura gestionada en la nube, el edge de Cloudflare y Supabase, con TLS en todo el tráfico. No hay servidor propio ni ningún endpoint público de base de datos expuesto por Lomen. Los correos de informes se envían a través de Resend y solo contienen cifras.
Situación de cumplimiento, dicha con claridad
Lomen es un producto en fase temprana mantenido por el equipo de Lomen, y esta página la escribimos nosotros: no es una auditoría independiente. Hoy no estamos certificados en SOC 2, ISO 27001 ni ningún esquema equivalente, y no vamos a decir lo contrario. Esta página describe el producto tal y como es hoy; la actualizaremos si eso cambia.
La responsabilidad es compartida. Nosotros protegemos la plataforma Lomen, su infraestructura y los datos que le envías. Tú sigues siendo responsable de dónde instalas el fragmento, qué modo de almacenamiento eliges y si tus visitantes deben consentirlo, a quién das acceso a tu cuenta, qué asistentes apruebas y cómo gestionas los informes exportados.
Si detectamos una brecha de datos personales que afecte a tu cuenta, te avisaremos sin dilación indebida y la comunicaremos a la autoridad de control competente en un plazo de 72 horas cuando proceda. Puedes solicitar la exportación o el borrado de tus datos en cualquier momento.
¿Has encontrado una vulnerabilidad? Escribe a micromacka@outlook.com. Confirmamos los avisos en un día laborable y te mantenemos al tanto hasta resolverlo.