Si estás valorando Alethexis —o cualquier herramienta que vaya a tratar datos de tu empresa—, la pregunta razonable es si el proveedor se aplica lo que predica. Esta página es un acta, no un argumentario: cuatro prácticas que Alethexis se aplica a sí misma, la evidencia pública con la que se pueden comprobar, las cifras recontadas el 12 de septiembre de 2026 y lo que queda abierto. Es el mismo criterio que defendemos para cualquier afirmación de gobernanza: con su evidencia es un hecho; sin ella, una opinión.
El acta, en una tabla
| Práctica | Qué hacemos | Dónde se ve | Cómo lo hemos comprobado |
|---|---|---|---|
| Sin analítica de visitantes ni píxeles | El sitio no carga analítica de audiencia ni píxeles de terceros | Política de cookies | La API de Web Analytics de Vercel responde «not found» para el proyecto |
| Prueba sin tarjeta | Registro con correo y contraseña, o con Google; los 14 días de prueba se activan al terminar la configuración, sin método de pago | Precios | El formulario de registro no tiene campo de pago, y la activación de la prueba no pasa por la pasarela |
| Datos en la UE, con aislamiento por fila | Base de datos y almacenamiento en Frankfurt; seguridad a nivel de fila en todas las tablas | Seguridad · Subencargados | Región eu-central-1; 80 de 80 tablas con RLS y 191 políticas |
| Huella, no firma | Cada PDF generado registra su huella SHA-256; no hay firma electrónica | Seguridad | La tabla de huellas no admite modificar ni borrar registros |
Sin analítica de visitantes, y un cabo suelto
El sitio no carga herramientas de medición de audiencia ni píxeles de conversión de terceros, y la política de cookies lo dice así: no hay analítica de visitantes y, por eso, no hay banner de consentimiento que mostrar. No es una declaración de intenciones. El componente de Web Analytics de Vercel se retiró en septiembre de 2026, cuando se comprobó que el producto ni siquiera estaba habilitado en el proyecto, y la API de Vercel lo sigue confirmando: el 12 de septiembre respondió «Web Analytics not found». Una política que dice «no hacemos analítica» junto a un script que la pide sería una contradicción que cualquiera puede ver en su navegador.
Y hay un cabo suelto, que un acta apunta en lugar de callar: el sitio monta Speed Insights, otro producto de Vercel que mide el rendimiento de las páginas —cuánto tardan en cargar—, no quién las visita. Desde fuera no hemos podido medir si está habilitado, y la política de cookies no lo nombra. Queda anotado para decidir si se retira o se declara, con las dos opciones escritas.
Una prueba que no pide tarjeta
Para probar Alethexis no hace falta dar una tarjeta. El formulario de registro pide un correo, una contraseña y la aceptación de los términos; también se puede entrar con Google. La prueba de 14 días se activa al terminar la configuración inicial de la cuenta, y el código que la activa no toca la pasarela de pago: escribe el estado de prueba y la fecha en que termina.
Lo que sí se pide, después y en esa configuración, son los datos de la organización —razón social, sector y tamaño—, porque configuran la cuenta. El NIF es opcional en ese paso: se exige solo al contratar, antes de crear el pago. Es una decisión de diseño que resume las cuatro: pedir cada dato donde hace falta, y no antes.
Datos en Frankfurt, con aislamiento por fila
La base de datos y el almacenamiento del producto están en la región eu-central-1 de Supabase, en Frankfurt; el 12 de septiembre de 2026 lo confirmaba la propia API del proyecto. El aislamiento entre clientes no depende de que el código se acuerde de filtrar: lo hace la base de datos, con seguridad a nivel de fila (RLS). Ese día, las 80 tablas del esquema principal la tenían activada, con 191 políticas. Y viene de lejos: la migración que creó el esquema de Alethexis define 35 tablas y activa RLS en las 35.
Datos en la UE no significa que nada salga de la UE, y conviene decirlo con la misma claridad: hay subencargados con transferencias internacionales, cubiertas por cláusulas tipo y, donde consta, por el Marco de Privacidad de Datos UE-EE. UU. La lista es pública en la página de subencargados, y la de seguridad detalla las medidas. Cuando Alethexis trata datos por cuenta de un cliente es su encargado del tratamiento en el sentido del Art. 28 del RGPD, y el DPA recoge lo que ese artículo exige que figure en el contrato. Es lo mismo que conviene pedir a cualquier proveedor de IA.
Huella de integridad, no firma
Cada PDF que genera el producto —la política de uso, el acta de gobernanza, la matriz de responsabilidades, la FRIA, la DPIA y el inventario de agentes— registra su huella SHA-256 en el momento de generarse. A 12 de septiembre de 2026 había 31 huellas registradas, de esos seis tipos de documento. La huella permite comprobar que un documento no ha cambiado desde que se generó; no identifica a nadie ni equivale a una firma electrónica, que el producto no tiene.
Por eso ya no la llamamos firma. Lo corregimos en la interfaz, en la especificación y en la documentación, porque «firma» invoca el régimen jurídico de la firma electrónica, cuyos requisitos el producto no cumple. La tabla que guarda las huellas conserva su nombre técnico heredado, pero la base de datos no permite modificar ni borrar sus registros.
Lo que esta acta no es
No es una auditoría externa ni la sustituye. El DPA reconoce al cliente el derecho a auditar el cumplimiento de Alethexis, y el registro de actividades de tratamiento que exige el Art. 30 del RGPD existe y se mantiene. Lo que esta página hace es más modesto y más fácil de comprobar: poner delante cuatro hechos, con la evidencia pública y la fecha en que se comprobaron. Si alguno deja de ser cierto, la página se revisa, igual que una clasificación caduca cuando cambia la norma.
Tampoco es un argumento de venta. No compara a Alethexis con nadie ni promete nada sobre lo que un cliente conseguirá. Hay cosas que ningún sistema hace por ti —tampoco por nosotros—, y dónde está esa frontera lo contamos aparte.
Lo que se puede copiar
El método no es exclusivo de un proveedor de software. Cualquier pyme puede redactar su propia acta con tres reglas:
- Cada afirmación, con su evidencia. «No usamos datos de clientes en herramientas personales» vale lo que valga el registro que lo demuestra.
- Cada evidencia, con su fecha. Lo que se comprobó en septiembre dice poco de diciembre si nadie lo vuelve a mirar.
- Lo abierto, escrito. Un cabo suelto anotado es gobernanza; uno escondido es un riesgo que alguien encontrará antes que tú.
Quién está detrás de Alethexis, en la empresa; y el resumen de todo esto, en Confianza.
Contenido con arreglo a los artículos 4, 28, 30 y 44 del Reglamento (UE) 2016/679. Cifras recontadas el 12 de septiembre de 2026; la consulta está en el repositorio del producto.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.