Política de privacidad

Este documento es un borrador de trabajo. Describe el sistema tal como está construido y todavía no lo ha revisado un abogado cualificado. Lo hará antes de que SiteGuardia opere comercialmente. Nada de lo aquí escrito es asesoramiento legal.

La versión corta

SiteGuardia Free casi no necesita nada de ti. No hay cuenta, ni nombre, ni correo electrónico, ni datos de pago. Nos das un dominio; te damos un informe temporal. Dos días después, ambos han desaparecido.

Quién es responsable

La entidad que operará SiteGuardia aún no está constituida. Esta sección nombrará al responsable del tratamiento, su dirección y su representante antes de que el servicio se ofrezca comercialmente. Hasta entonces, los datos de contacto para cuestiones de privacidad se publican en /.well-known/security.txt.

Qué tratamos y por qué

El objetivo que escribes

El dominio o URL que envías, su forma normalizada y una huella derivada con clave. Lo necesitamos para ejecutar la comprobación y para aplicar el límite diario. La base legal es la ejecución del servicio que has solicitado.

Marcas de tiempo y estado del análisis

Cuándo empezó una comprobación, qué módulos se ejecutaron, cuánto tardó cada uno y si terminó. Necesario para producir el informe y para operar el servicio.

Salida saneada del escáner

Hallazgos, puntuaciones y la evidencia segura asociada a los hallazgos publicables: nombres de cabecera, valores de registro, versiones de protocolo, fechas de certificado. Esto es el informe.

No conservamos la salida bruta del escáner. Se procesa en almacenamiento temporal respaldado por memoria y se borra en minutos, incluso cuando un trabajo falla.

Tu dirección IP

Se conserva brevemente en registros de seguridad para prevención de abuso, y se usa para derivar una clave seudónima rotatoria para el límite por visita. La clave es HMAC(secreto_rotatorio, ip_normalizada + fecha_utc), así que no puede revertirse a una dirección y las claves de ayer no pueden emparejarse con las de hoy. No almacenamos direcciones IP en bruto para la cuota. La base legal es nuestro interés legítimo en prevenir el abuso de un servicio gratuito.

Tu idioma y tu aceptación de los términos

El idioma que elegiste y la versión de los Términos y de la Política de análisis responsable que aceptaste, con una marca de tiempo. Necesitamos el registro de aceptación; es la base sobre la que se ejecutó la comprobación.

Telemetría operativa

Recuentos, duraciones y tasas de error, agregados. No enviamos URLs completas de objetivos a ningún servicio externo de telemetría.

Qué no recogemos

Ni nombre, ni dirección postal, ni teléfono, ni documentos de identidad, ni contraseña, ni información de pago, ni cuenta. No como una decisión de política que pudiéramos revertir en silencio: el plan gratuito no tiene dónde guardar nada de eso.

No usamos huella digital del navegador. Ni canvas, ni audio, ni WebGL. Los controles antiabuso son del lado del servidor.

Cookies

Solo cookies estrictamente necesarias, descritas en la Política de cookies. Sin cookies publicitarias ni cookies de analítica de terceros.

Cuánto tiempo conservamos las cosas

Cuatro cosas de esa tabla se decían antes de otra forma, y las diferencias no eran de redondeo.

48 horas desde la petición, no desde la finalización. La caducidad se fija cuando se admite un análisis, antes de que se ejecute. Un análisis que tarda tres minutos es accesible 48 horas menos esos tres minutos. Hemos mantenido ese comportamiento y cambiado la redacción, porque la alternativa era cambiar el comportamiento para que encajara con una frase.

Caducidad y borrado son dos sucesos. A las 48 horas la dirección del informe deja de funcionar y devuelve 410. La fila la borra la pasada de purga que se ejecuta tras una hora más de gracia, que existe para que quien abrió su informe un minuto antes de caducar no esté leyendo una página cuyos datos desaparecen por debajo. La purga corre en un ciclo de cinco minutos, así que en el caso normal el borrado ocurre entre las 49 y las 49,1 horas desde la petición. Si el trabajo de purga está parado, no se borra nada hasta que vuelva a ejecutarse; el informe permanece inaccesible todo ese tiempo, pero inaccesible no es borrado, y esta página no va a afirmar lo contrario.

Contadores de cuota. Una fila de contador registra que un dominio registrable se comprobó un día UTC concreto, y otra registra al actor seudonimizado que lo pidió. Se eliminan en la primera pasada de purga después de que ese día UTC termine. Hasta hace poco se conservaban un día extra y el trabajo comparaba contra la fecha local de la máquina en lugar de una UTC; ambas cosas están corregidas.

Los registros son dos retenciones, no un rango. Los eventos de abuso y seguridad se conservan 21 días. Las entradas de auditoría administrativa, que es el registro de lo que hizo un operador, se conservan 365 días, porque son lo que lee una revisión de incidente. Antes se describían juntas como "de 14 a 30 días", que no era cierto de ninguna de las dos.

Qué más existe, y durante cuánto

La tabla de arriba son los datos alrededor de los cuales se diseñó el servicio. Estos también existen, y una página de retención que los omite está describiendo un sistema, no este.

La última fila no es una exención de responsabilidad, es la línea más importante de esta página. Un informe está pensado para reenviarse a quien lleva la parte técnica. Una vez reenviado, la caducidad no le hace nada a las copias, y nosotros tampoco.

Las cuatro primeras son decisiones pendientes más que políticas. Están listadas porque una página de privacidad que describe solo las partes que tienen un trabajo de purga está describiendo las partes que eran fáciles.

Seudonimización, y qué no es

Las cuotas y los límites de frecuencia necesitan reconocer a quien repite sin guardar quién es. Lo que se guarda es un hash con clave, un HMAC, de la dirección que pide, con una clave que cambia, y la dirección en sí no se escribe.

Esto limita el abuso y limita lo que revela un volcado de la base de datos. Es seudonimización, que en el RGPD es una medida de seguridad y no una anonimización: los valores siguen refiriéndose a personas, quien tenga la clave puede volver a calcularlos y un valor se puede enlazar con otros registros que lo compartan. Esta página describía antes el mismo mecanismo como imposible de revertir o relacionar. Eso lo exageraba, y exagerar un control de privacidad es peor que describir honestamente uno más débil.

Hallazgos sensibles

Cuando una comprobación encuentra algo grave en un dominio cuya propiedad nadie ha demostrado, la evidencia técnica se clasifica y se descarta antes de escribir nada en almacenamiento. No se te oculta: no existe. La base de datos tiene una restricción que se niega a guardar un hallazgo retenido que lleve evidencia, y el modelo de respuesta de la API no tiene ningún campo que pudiera llevarla.

Lo que sí permanece merece enunciarse, porque esta página terminaba aquí diciendo "no hay datos sensibles que podamos perder", y eso solo era cierto de la parte descartada. Durante 48 horas tenemos: el dominio comprobado, cuándo se comprobó, qué comprobaciones fallaron, con qué severidad y con qué confianza, la duración de cada módulo y un identificador seudonimizado de quien lo pidió.

Ese conjunto no es sensible en el sentido de las categorías especiales del RGPD, y tampoco es inocuo. Es la afirmación de que una web concreta tenía debilidades concretas en un momento concreto, y la protección que tiene es que se direcciona con un token de 256 bits que nadie puede adivinar, nunca se indexa, nunca está en una caché compartida y se borra según el calendario.

Quién más trata tus datos

SiteGuardia no utiliza actualmente ningún encargado de tratamiento externo para la comprobación gratuita. Si eso cambia, se publicará aquí una lista de subencargados con la finalidad y la región de cada uno antes de que el cambio tenga efecto.

Los análisis llegan al sitio que has nombrado, que verá la petición en sus propios registros. Eso es inherente al servicio.

Transferencias internacionales

Cuando se produzcan transferencias, se listarán con sus garantías en la lista de subencargados. Hoy no aplica ninguna.

Tus derechos

Según dónde estés, puedes tener derechos de acceso, rectificación, supresión, limitación u oposición al tratamiento de tus datos personales, a la portabilidad y a reclamar ante una autoridad de control. Bajo la CCPA y la CPRA pueden aplicar derechos a saber, suprimir, corregir y a oponerte a la venta o cesión; no vendemos ni cedemos información personal. Existen derechos comparables bajo la LGPD y otros regímenes.

Cómo ejercer uno

Escribe a la dirección de privacidad que aparece en la página de Datos del operador. Cuéntanos qué pides y danos lo suficiente para encontrar el registro; en el caso de un informe, eso es la dirección del informe, porque es lo único que lo identifica.

Acusaremos recibo en 5 días hábiles y responderemos en 30 días, o te diremos dentro de esos 30 días por qué necesitamos más tiempo y cuánto. Si no podemos identificarte como la persona a la que se refieren los datos, lo diremos en lugar de suponerlo: en el caso de un informe, tener el enlace es la única prueba que existe, lo que también significa que puede pedirlo cualquiera que lo tenga.

Si no quedas conforme, puedes reclamar ante tu autoridad de control. Dónde estemos establecidos determina cuál nos supervisa, y eso está en la página de Datos del operador en cuanto se decida.

Esta página decía antes que los derechos "ya se cumplen por diseño", porque no hay cuenta y un informe caduca en 48 horas. No es lo mismo. La caducidad corre según su propio calendario para todo el mundo y no responde a ninguna solicitud; no te dice qué tenemos y no alcanza a las copias de seguridad, a los registros del proxy ni a un buzón de soporte. Un procedimiento es un procedimiento, y este es el nuestro.

Qué queda pendiente. La dirección de arriba es un marcador hasta que se establezca el operador, así que hoy no hay nadie al otro lado. Los plazos de arriba son a lo que nos comprometemos, y se vuelven reales cuando lo haga la dirección.

Menores

SiteGuardia no está dirigido a menores y no tratamos sus datos de forma consciente.

Seguridad

TLS 1.2 o superior en tránsito, con preferencia por TLS 1.3. Los tokens de informe se guardan como hashes con clave, nunca en texto claro. El plano de análisis se ejecuta aislado de la base de datos y sin ruta hacia ella. No afirmamos tener ninguna certificación que no tengamos.

Esta página decía antes "cifrado de disco en el servidor". No hay servidor definitivo: SiteGuardia no está desplegado en ningún sitio permanente, así que aquello era una afirmación sobre un entorno que nadie ha elegido. El cifrado en reposo se declarará aquí cuando sea una propiedad de un despliegue en marcha que alguien pueda comprobar, y no antes.

Cambios

Esta política está versionada. Los cambios materiales se publicarán aquí con una nueva versión y fecha, y la versión vigente cuando se ejecuta una comprobación se registra con esa comprobación.