Si estás valorando Alethexis —o cualquier herramienta que vaya a tratar datos de tu empresa—, la pregunta razonable es si el proveedor se aplica lo que predica. Esta página es un acta, no un argumentario: cuatro prácticas que Alethexis se aplica a sí misma, la evidencia pública con la que se pueden comprobar, las cifras recontadas el 12 de septiembre de 2026 y lo que queda abierto. Es el mismo criterio que defendemos para cualquier afirmación de gobernanza: con su evidencia es un hecho; sin ella, una opinión.
El acta, en una tabla
| Práctica | Qué hacemos | Dónde se ve | Cómo lo hemos comprobado |
|---|---|---|---|
| Sin analítica de visitantes ni píxeles | El sitio no carga analítica de audiencia ni píxeles de terceros | Política de cookies | Ningún script de medición en el HTML ni en el código que sirve el sitio (comprobado el 26/09/2026) |
| Prueba sin tarjeta | Registro con correo y contraseña, o con Google; los 14 días de prueba se activan al terminar la configuración, sin método de pago | Precios | El formulario de registro no tiene campo de pago, y la activación de la prueba no pasa por la pasarela |
| Datos en la UE, con aislamiento por fila | Base de datos y almacenamiento en Frankfurt; seguridad a nivel de fila en todas las tablas | Seguridad · Subencargados | Región eu-central-1; 80 de 80 tablas con RLS y 191 políticas |
| Huella, no firma | Cada PDF generado registra su huella SHA-256; no hay firma electrónica | Seguridad | La tabla de huellas no admite modificar ni borrar registros |
Sin analítica de visitantes, una semana que sí la hubo y un cabo suelto que se cerró
El sitio no carga herramientas de medición de audiencia ni píxeles de conversión de terceros, y la política de cookies lo dice así: no hay analítica de visitantes y, por eso, no hay banner de consentimiento que mostrar. Ninguna página carga hoy un script de medición: lo comprobamos el 26 de septiembre en el HTML y en el código que sirve el sitio. Una política que dice «no hacemos analítica» junto a un script que la pide sería una contradicción que cualquiera puede ver en su navegador.
No siempre fue así, y un acta lo dice. La función Web Analytics de Vercel estuvo habilitada en el proyecto del 31 de agosto al 26 de septiembre de 2026, y hubo recogida del 31 de agosto al 7 de septiembre: el sitio montó ese componente, que cuenta páginas visitadas sin cookies, hasta que se retiró el 7 de septiembre; la función se deshabilitó en el panel el 26. Cuando redactamos esta acta, la API de consulta de Vercel respondía «Web Analytics not found» y lo leímos como que la función no estaba habilitada. No lo acreditaba: una consulta que no encuentra datos no dice cómo está un interruptor. Los datos de esa semana los conserva el proveedor según su plazo de retención; la solicitud de supresión se anotará aquí con su fecha.
Había además un cabo suelto, que esta acta apuntó el 13 de septiembre en lugar de callarlo: el sitio montaba Speed Insights, otro producto de Vercel que mide el rendimiento de las páginas —cuánto tardan en cargar—, no quién las visita, y la política de cookies no lo nombraba. Se escribieron dos opciones, retirarlo o declararlo. Cerrado el 26 de septiembre de 2026 con la primera: se retiró el componente del sitio, de modo que ninguna página envía ya esas métricas. El producto sigue figurando como habilitado en el proyecto de Vercel y el panel no ofrece cómo apagarlo; lo que sí comprobamos es que ninguna página carga ya su script.
Una prueba que no pide tarjeta
Para probar Alethexis no hace falta dar una tarjeta. El formulario de registro pide un correo, una contraseña y la aceptación de los términos; también se puede entrar con Google. La prueba de 14 días se activa al terminar la configuración inicial de la cuenta, y el código que la activa no toca la pasarela de pago: escribe el estado de prueba y la fecha en que termina.
Lo que sí se pide, después y en esa configuración, son los datos de la organización —razón social, sector y tamaño—, porque configuran la cuenta. El NIF es opcional en ese paso: se exige solo al contratar, antes de crear el pago. Es una decisión de diseño que resume las cuatro: pedir cada dato donde hace falta, y no antes.
Datos en Frankfurt, con aislamiento por fila
La base de datos y el almacenamiento del producto están en la región eu-central-1 de Supabase, en Frankfurt; el 12 de septiembre de 2026 lo confirmaba la propia API del proyecto. El aislamiento entre clientes no depende de que el código se acuerde de filtrar: lo hace la base de datos, con seguridad a nivel de fila (RLS). Ese día, las 80 tablas del esquema principal la tenían activada, con 191 políticas. Y viene de lejos: la migración que creó el esquema de Alethexis define 35 tablas y activa RLS en las 35.
Datos en la UE no significa que nada salga de la UE, y conviene decirlo con la misma claridad: hay subencargados con transferencias internacionales, cubiertas por cláusulas tipo y, donde consta, por el Marco de Privacidad de Datos UE-EE. UU. La lista es pública en la página de subencargados, y la de seguridad detalla las medidas. Cuando Alethexis trata datos por cuenta de un cliente es su encargado del tratamiento en el sentido del Art. 28 del RGPD, y el DPA recoge lo que ese artículo exige que figure en el contrato. Es lo mismo que conviene pedir a cualquier proveedor de IA.
Huella de integridad, no firma
Cada PDF que genera el producto —la política de uso, el acta de gobernanza, la matriz de responsabilidades, la FRIA, la DPIA y el inventario de agentes— registra su huella SHA-256 en el momento de generarse. A 12 de septiembre de 2026 había 31 huellas registradas, de esos seis tipos de documento. La huella permite comprobar que un documento no ha cambiado desde que se generó; no identifica a nadie ni equivale a una firma electrónica, que el producto no tiene.
Por eso ya no la llamamos firma. Lo corregimos en la interfaz, en la especificación y en la documentación, porque «firma» invoca el régimen jurídico de la firma electrónica, cuyos requisitos el producto no cumple. La tabla que guarda las huellas conserva su nombre técnico heredado, pero la base de datos no permite modificar ni borrar sus registros.
Lo que esta acta no es
No es una auditoría externa ni la sustituye. El DPA reconoce al cliente el derecho a auditar el cumplimiento de Alethexis, y el registro de actividades de tratamiento que exige el Art. 30 del RGPD existe y se mantiene. Lo que esta página hace es más modesto y más fácil de comprobar: poner delante cuatro hechos, con la evidencia pública y la fecha en que se comprobaron. Si alguno deja de ser cierto, la página se revisa, igual que una clasificación caduca cuando cambia la norma.
Tampoco es un argumento de venta. No compara a Alethexis con nadie ni promete nada sobre lo que un cliente conseguirá. Hay cosas que ningún sistema hace por ti —tampoco por nosotros—, y dónde está esa frontera lo contamos aparte.
Lo que se puede copiar
El método no es exclusivo de un proveedor de software. Cualquier pyme puede redactar su propia acta con tres reglas:
- Cada afirmación, con su evidencia. «No usamos datos de clientes en herramientas personales» vale lo que valga el registro que lo demuestra.
- Cada evidencia, con su fecha. Lo que se comprobó en septiembre dice poco de diciembre si nadie lo vuelve a mirar.
- Lo abierto, escrito. Un cabo suelto anotado es gobernanza; uno escondido es un riesgo que alguien encontrará antes que tú.
Quién está detrás de Alethexis, en la empresa; y el resumen de todo esto, en Confianza.
Contenido con arreglo a los artículos 4, 28, 30 y 44 del Reglamento (UE) 2016/679. Cifras recontadas el 12 de septiembre de 2026; la consulta está en el repositorio del producto.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.