Legal
Política de privacidad
Qué datos personales trata NEXORA, para qué, durante cuánto tiempo y cómo puedes ejercer tus derechos.
Borrador pendiente de completar y de revisión jurídica. Los datos marcados así [DATO PENDIENTE] todavía no se han facilitado. Hasta completarlos, este texto no debe darse por definitivo.
Responsable del tratamiento
- Responsable: [NOMBRE Y APELLIDOS O RAZÓN SOCIAL]
- NIF / CIF: [NIF O CIF]
- Domicilio: [DOMICILIO COMPLETO]
- Correo para asuntos de privacidad: [EMAIL PARA PRIVACIDAD]
- Delegado de protección de datos: [SOLO SI SE HA DESIGNADO: NOMBRE Y CONTACTO. SI NO, ELIMINAR ESTA LÍNEA]
Qué datos tratamos y para qué
Estos son los tratamientos que hace hoy el sitio, según su código. No usamos tus datos para publicidad, no elaboramos perfiles ni tomamos decisiones automatizadas sobre ti.
| Tratamiento | Datos | Finalidad | Base jurídica | Conservación |
|---|---|---|---|---|
| Cuenta con email | Nombre, email, contraseña (solo se guarda su resumen con scrypt, nunca la contraseña) y fecha de alta. | Crear y gestionar tu cuenta e iniciar sesión. | Ejecución de los Términos de uso (art. 6.1.b RGPD). | Mientras la cuenta exista. Tras la baja, [PLAZO DE BLOQUEO, SI LO HAY]. |
| Cuenta con Google o GitHub | Identificador de tu cuenta en el proveedor, nombre y email verificado que este nos facilita. No recibimos tu contraseña y no guardamos los tokens de acceso. | Crear tu cuenta o iniciar sesión con ese proveedor. | Ejecución de los Términos (art. 6.1.b RGPD). | Igual que la cuenta. |
| Sesiones | Resumen SHA-256 del token de sesión, tu cuenta y las fechas de inicio y caducidad. | Mantener la sesión iniciada. | Ejecución de los Términos (art. 6.1.b RGPD). | Caducan a los 30 días. Al cerrar sesión se borra en ese momento; una sesión caducada se borra en la hora siguiente, porque el servidor las revisa al arrancar y después cada hora mientras está en marcha. |
| Seguridad | Dirección IP. Con IPv6, los límites cuentan por el bloque de direcciones (/56) al que pertenece, y todos ellos también por el bloque /48. Para frenar los intentos fallidos de inicio de sesión: un resumen HMAC-SHA-256 del email con el que se intenta entrar (no el email), hecho con una clave aleatoria que solo existe en la memoria del servidor y cambia en cada arranque, junto con tu dirección IPv4 o tu bloque IPv6 /56. | Limitar los intentos de registro e inicio de sesión y las peticiones al playground para evitar abusos. Si no activas Google reCAPTCHA, el registro y el inicio de sesión tienen un límite más estricto (5 registros y 15 inicios de sesión por hora). Los formularios incluyen además un campo oculto que solo rellenan los bots. Tras varios intentos fallidos contra una misma cuenta, los siguientes tienen que esperar. | Interés legítimo en proteger el servicio (art. 6.1.f RGPD). | Solo en la memoria del servidor, durante la ventana de cada límite: 15 minutos para los intentos de cuenta, 1 hora para el límite estricto sin reCAPTCHA y, por defecto, 1 minuto para el playground. El resumen del email y la dirección del freno del inicio de sesión dejan de tenerse en cuenta una hora después del último intento; hasta que se reutiliza su espacio en memoria pueden seguir guardados, pero sin usarse. Todo ello se pierde al reiniciar el servidor. [REGISTROS DEL PROVEEDOR DE ALOJAMIENTO Y SU PLAZO] |
| Antispam con Google reCAPTCHA (solo si lo activas) | En tu navegador, Google reCAPTCHA recoge tu dirección IP, datos de tu dispositivo y de tu navegador, sus cookies y tu interacción con la página. Para comprobar el resultado, nuestro servidor envía a Google el token que genera tu navegador y nuestra clave secreta (no le envía tu dirección IP). Google le responde si el token es válido y, en ese caso, la puntuación, la acción, el dominio en que se generó el token y la fecha en que se generó; si no es válido, unos códigos de error. | Distinguir personas de bots al registrarte y al iniciar sesión. | Tu consentimiento para cargar reCAPTCHA (art. 6.1.a RGPD y art. 22.2 LSSI), que puedes retirar en cualquier momento. La comprobación del resultado en nuestro servidor se basa en el interés legítimo en proteger el servicio (art. 6.1.f RGPD). Si no lo aceptas, puedes registrarte igualmente. | No guardamos el token ni la puntuación. Si el dominio no es uno de los de este sitio, el servidor anota ese dominio en su registro, sin ningún otro dato. Google conserva sus datos según sus propias políticas. |
| Playground | El código que envías. | Ejecutarlo y devolverte el resultado. | Prestación del servicio que solicitas (art. 6.1.b RGPD). | No se almacena: se procesa y se descarta. Tu navegador guarda un borrador en sessionStorage hasta que cierras la pestaña. |
| Contacto | Tu email y lo que nos escribas. | Responder a tu consulta. | Interés legítimo en atenderla (art. 6.1.f RGPD). | [PLAZO] |
| Preferencias de cookies | Tu elección, su fecha y la versión de la política. | Respetar tu elección y recordarla en este navegador. Solo se guarda en tu navegador: el servidor no la recibe ni conserva ningún registro de ella. | Obligación legal (art. 22.2 LSSI y art. 6.1.c RGPD). | En tu navegador, 365 días. |
El nombre y el email son necesarios para crear una cuenta; sin ellos no podemos dártela. Te recomendamos no incluir datos personales en el código que envías al playground.
Destinatarios y proveedores
No cedemos tus datos a terceros, salvo obligación legal. Para prestar el servicio usamos estos proveedores:
- Alojamiento y base de datos: [PROVEEDOR, PAÍS Y CONTRATO DE ENCARGO DEL TRATAMIENTO]. Actúa como encargado del tratamiento.
- Google reCAPTCHA, solo si lo activas: Google recibe los datos indicados arriba directamente desde tu navegador, según su política de privacidad y sus condiciones. [VERIFICAR CON ASESORÍA JURÍDICA SI GOOGLE ACTÚA EN reCAPTCHA COMO ENCARGADO O COMO RESPONSABLE INDEPENDIENTE]
- Google y GitHub, si eliges iniciar sesión con ellos: te autenticas en su sitio, con sus propias condiciones y su política de privacidad, y nos facilitan los datos indicados arriba.
Transferencias internacionales
Algunos de estos proveedores están en Estados Unidos o pueden tratar datos allí: Google LLC (según su política, el inicio de sesión con Google y reCAPTCHA) y GitHub, Inc. [VERIFICAR EL MECANISMO DE CADA TRANSFERENCIA: MARCO DE PRIVACIDAD DE DATOS UE-EE. UU. O CLÁUSULAS CONTRACTUALES TIPO] [INDICAR SI EL ALOJAMIENTO ESTÁ FUERA DEL ESPACIO ECONÓMICO EUROPEO]
Tus derechos
Puedes ejercer en cualquier momento los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar los consentimientos que hayas dado, sin que eso afecte a la licitud del tratamiento anterior.
Escribe a [EMAIL PARA PRIVACIDAD] indicando el derecho que quieres ejercer. Si es necesario para comprobar tu identidad, te pediremos información adicional. Responderemos en el plazo de un mes, ampliable en los casos que prevé el RGPD, y sin coste. Para borrar tu cuenta, escribe desde el email con el que la creaste: hoy el sitio no tiene una opción para hacerlo tú mismo.
Reclamaciones
Si crees que no hemos tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan, 6, 28001 Madrid, o en su sede electrónica en www.aepd.es. Te agradeceremos que antes nos escribas para intentar resolverlo.
Menores de edad
[EDAD MÍNIMA PARA CREAR UNA CUENTA. EN ESPAÑA, UN MENOR PUEDE CONSENTIR EL TRATAMIENTO DE SUS DATOS A PARTIR DE LOS 14 AÑOS (ART. 7 LOPDGDD); REVISAR CON ASESORÍA JURÍDICA]
Seguridad
Las contraseñas se guardan solo como resumen con scrypt. La sesión usa un token aleatorio en una cookie HttpOnly, y en la base de datos solo se guarda su resumen. Los intentos de inicio de sesión están limitados. [CONFIRMAR QUE EL SITIO SE SIRVE SOLO POR HTTPS EN PRODUCCIÓN]
Cambios en esta política
Si cambian los tratamientos, actualizaremos esta página, su fecha y su versión. Hoy el sitio no tiene un medio para avisarte de forma individual (no envía correos), así que te recomendamos revisarla de vez en cuando. [REVISAR CON ASESORÍA JURÍDICA: SI UN CAMBIO QUE AFECTE A TUS DERECHOS EXIGE AVISARTE DE FORMA INDIVIDUAL, Y CÓMO]