Plugin de CookiePal - Aviso de privacidad

La página la carga el plugin en tu propio equipo, en un perfil de navegador temporal y nuevo. CookiePal nunca la carga. Nuestro servidor entrega el plan antes de una comprobación, valida y almacena el resultado después, cuenta comprobaciones, determina el país desde el que se ejecutó y aplica los límites que mantienen el servicio disponible para todos.

Lo que llega a CookiePal es el origen y la ruta de la página, las cookies encontradas sin sus valores, los hosts de terceros con los que contactó la página, la versión del plugin, el país desde el que se ejecutó la comprobación, lo que cambiaron los botones de aceptar y rechazar del banner y un ID de instalación aleatorio, si aceptaste compartirlo. Nada más.

No almacenamos tu dirección IP, nunca recibimos el valor de una cookie y no existe ninguna cuenta a la que vincular nada de esto.

La página que comprobaste, reducida a su origen y su ruta. La cadena de consulta y el fragmento se eliminan en tu equipo, antes de enviar nada, porque pueden contener tokens de sesión, direcciones de correo y otros identificadores. Por ejemplo, una comprobación de https://example.com/pricing?session=abc#plans se envía y se almacena como https://example.com/pricing. El plugin se niega a enviar una dirección de página que todavía tenga cadena de consulta, y nuestro servidor almacena solo el origen y la ruta en cualquier caso.

Las cookies encontradas - el nombre, el dominio, la ruta y la caducidad de cada una, sus marcas Secure, HttpOnly y SameSite, y la categoría que se le ha asignado. El valor de una cookie nunca se envía y nunca sale de tu equipo.

Los hosts de terceros con los que la página contactó mientras se cargaba.

El número de versión del plugin, para saber qué versión produjo un resultado.

El país desde el que se ejecutó la comprobación, determinado a partir de la dirección IP con la que llega tu solicitud. La dirección IP en sí se usa solo para esa consulta y no se almacena. Guardamos el país, no la dirección.

Lo que hicieron los botones del banner, cuando la comprobación los pulsó: si se encontró un banner, si se pudo pulsar aceptar y rechazar y, para cada uno, las cookies que aparecieron o desaparecieron y los hosts de terceros contactados por primera vez. Son los mismos tipos de registro que los de arriba, y el valor de las cookies también queda fuera de ellos.

Un ID de instalación aleatorio, solo si aceptaste compartirlo. Véase más abajo.

Los valores de las cookies, el contenido del local storage y del session storage, el HTML o el texto de la página, lo que escribes en formularios, las capturas de pantalla, la cadena de consulta y el fragmento de la URL comprobada, y tu propio perfil de navegador. Nuestro servidor no tiene ningún campo para el valor de una cookie y rechaza cualquier resultado que intente incluir uno, así que esto se impone técnicamente, no solo se promete.

La comprobación nunca usa el perfil de navegador con el que navegas. Cada ejecución abre un perfil temporal nuevo, de modo que tus cookies, tus sesiones y tus inicios de sesión nunca se abren ni se leen.

Las cookies se categorizan en tu equipo, con el catálogo de código abierto @cookiepal-oss/cookie-db que se incluye con el plugin. Ninguna cookie se envía a ningún sitio para ser identificada, y la categoría viaja con el resultado en lugar de determinarse de nuestro lado.

La lectura en lenguaje claro de tu resultado también se produce íntegramente en tu equipo, a partir de textos fijos incluidos en el plugin. Producirla no envía nada a CookiePal.

Nos gustaría saber aproximadamente cuántas personas usan el plugin, y no solo cuántas comprobaciones se ejecutan. La única manera de distinguir ambas cosas es un identificador aleatorio que se mantenga igual entre tus comprobaciones.

La primera vez que ejecutas una comprobación, el plugin te pregunta una sola vez si quieres compartir uno. La opción por defecto es no, y la comprobación funciona igualmente. El ID se crea solo después de que digas que sí. Es un valor aleatorio, sin nada derivado de tu equipo, de tu red ni de ti, y se guarda en la carpeta de datos del plugin, de modo que desinstalar el plugin lo elimina.

Lo preguntamos porque el ID de instalación se almacena en tu dispositivo para una medición nuestra, no porque la comprobación lo necesite. Almacenar o leer información en el dispositivo de alguien generalmente exige consentimiento, salvo que sea estrictamente necesario para el servicio que esa persona ha solicitado, y la medición no lo es, así que aquí tratamos el consentimiento como obligatorio.

Un identificador aleatorio persistente sigue siendo un dato personal conforme al RGPD, aunque no esté vinculado a un nombre ni a una cuenta, así que lo tratamos como tal. Se usa para contar instalaciones únicas y para nada más: ni para elaboración de perfiles, ni para publicidad, y nunca se comparte con nadie.

Para dejar de compartirlo y borrarlo de tu equipo, ejecuta /cookiepal:check stop-sharing. Retirar el consentimiento detiene cualquier recogida o uso posterior del ID. No convierte en ilícito el tratamiento anterior a la retirada, y las comprobaciones que ya has enviado conservan el ID con el que se enviaron hasta que caducan a los 180 días. Puedes pedirnos que las borremos antes.

El plugin se ejecuta dentro de Claude Code, que es un producto de Anthropic, no nuestro. La dirección de la página, las cookies encontradas y el resultado pasan por tanto por tu propia sesión de Claude Code como parte de la ejecución de la comprobación. Eso ocurre conforme a tu propio acuerdo con Anthropic, y CookiePal ni lo controla ni recibe copia de tu sesión.

Por defecto, la lectura en lenguaje claro al final de una comprobación se publica como un artifact en claude.ai, lo que envía esa lectura - incluidas la dirección de la página y la lista de cookies - a Anthropic, bajo tu propia cuenta de claude.ai y sus condiciones.

No tienes por qué usarlo. La misma lectura puede escribirse como archivo HTML local, como archivo Markdown local, o imprimirse directamente en tu terminal, y esas tres formas no la envían a ninguna parte. Puedes elegir la forma para una ejecución concreta, por ejemplo /cookiepal:check https://example.com html, o fijar una por defecto para que nunca se usen artifacts.

Sea cual sea la forma que elijas, la lectura se compone en tu equipo y ninguna parte de su elaboración llega a CookiePal.

Una comprobación almacenada se borra automáticamente 180 días después de haber sido planificada, es decir, 180 días desde el momento en que iniciaste la comprobación y nuestro servidor emitió su ID de comprobación, no desde que volvió el resultado. Entre ambos momentos hay minutos. El borrado es automático y abarca el registro completo, incluido el ID de instalación asociado.

Podemos conservar más tiempo estadísticas agregadas genuinamente anonimizadas, cuando lo conservado ya no se refiere a una persona identificable y no podría razonablemente usarse para identificar a nadie. Contar por sí solo no convierte un dato en anónimo, así que esto se aplica únicamente cuando ese criterio se cumple de verdad.

Una matización honesta sobre cualquier borrado, automático o a petición tuya. Nuestra base de datos mantiene copias de seguridad continuas y cifradas para poder restaurarse tras un fallo, y esas copias van 35 días por detrás. Un registro eliminado del almacén activo permanece por tanto dentro de esa ventana de copia hasta que esta avanza, y después no queda ninguna copia. No usamos las copias de seguridad para consultar nada; existen solo para recuperarse de un desastre.

El responsable del tratamiento de los datos descritos aquí es CookiePal Limited, sociedad registrada en Inglaterra y Gales con el número 15835702 y domicilio social en 10 Orange Street, Londres WC2H 7DQ, Reino Unido. Por estar establecidos en el Reino Unido, el RGPD del Reino Unido y la Data Protection Act 2018 se aplican a nuestro tratamiento, y el RGPD de la UE se aplica cuando ofrecemos el servicio a personas que se encuentran en el EEE. Cuando este aviso menciona el RGPD, se refiere a ambos regímenes.

Para la comprobación en sí - la página, las cookies, los hosts, la versión del plugin y el país - nuestra base es el interés legítimo del artículo 6.1.f) del RGPD: prestar el servicio que nos has pedido, mantenerlo disponible y seguro, y entender cuánto se usa. La mayor parte de lo que registra una comprobación describe el sitio web que se está probando, no a la persona que lo prueba, y no pedimos ni recogemos tu nombre, tu correo, tu cuenta ni tu dirección IP como parte de ella. Aun así, parte de esa información puede constituir un dato personal en determinadas circunstancias - una ruta puede contener un identificador -, así que la tratamos con el mismo cuidado en cualquier caso.

Para el ID de instalación, nuestra base es tu consentimiento, conforme al artículo 6.1.a), solicitado antes de crear nada y revocable en cualquier momento con /cookiepal:check stop-sharing. Revocarlo no afecta a las comprobaciones ya enviadas, pero también puedes pedirnos que las borremos.

El servicio se ejecuta en Amazon Web Services, en la región eu-central-1, en Fráncfort, Alemania, y AWS es nuestro encargado del tratamiento para ello. Estamos establecidos en el Reino Unido, así que los datos se consultan desde allí, y algunas actividades de apoyo, como la monitorización de errores y el soporte, pueden implicar tratamiento en otro lugar; cuando ocurre, nos apoyamos en un mecanismo de transferencia adecuado. Los proveedores que usamos están listados en nuestra página de subencargados.

Cuando tratamos datos personales sobre ti, el RGPD del Reino Unido y el RGPD de la UE te otorgan derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad. La LGPD de Brasil prevé su propio conjunto de derechos, incluidos la confirmación del tratamiento, el acceso, la corrección, la anonimización o eliminación en los supuestos que establece, y la portabilidad. Estos regímenes no son iguales entre sí, así que los hemos descrito por separado en lugar de tratar uno como traducción del otro.

En la práctica hay muy poco sobre lo que ejercerlos, y preferimos decirlo claramente antes que dar a entender lo contrario. Una comprobación almacenada no lleva cuenta, ni nombre, ni correo electrónico, ni dirección IP. Si nunca compartiste un ID de instalación, es poco probable que podamos saber qué comprobaciones son tuyas a partir de la información que tenemos. Es una decisión de diseño deliberada, no una evasiva. Si nos facilitas información adicional para que podamos identificar tus registros, la usaremos solo para atender tu solicitud y después la descartaremos.

Si sí compartiste un ID de instalación, ese ID es el único identificador que tenemos. Envíanoslo a support@cookiepal.io y atenderemos tu solicitud. Por ahora lo hacemos manualmente, y estamos desarrollando las herramientas para convertirlo en algo rutinario, así que concédenos el plazo de un mes que prevé el RGPD en lugar de esperarlo el mismo día. Ejecutar /cookiepal:check stop-sharing borra el ID de tu equipo, así que cópialo antes o no tendremos nada que buscar.

En cualquier caso, todo caduca por sí solo a los 180 días. Si crees que hemos gestionado algo mal, puedes reclamar ante la Information Commissioner's Office, la autoridad de control del Reino Unido, en ico.org.uk, o ante la autoridad de protección de datos del lugar donde vivas.

Aplicamos medidas técnicas y organizativas adecuadas al riesgo. En la práctica, la mejor protección es lo poco que hay que proteger: no nos llega ninguna cuenta, ningún valor de cookie ni ningún contenido de página, y no se almacena ninguna dirección IP, de modo que una brecha en nuestro almacén no podría exponerlos.

En concreto: todo viaja por TLS; el almacén está cifrado en reposo con el cifrado gestionado de Amazon DynamoDB; los permisos del propio servidor se limitan a las pocas operaciones que necesita, de modo que no puede leer otros datos de CookiePal aunque se viera comprometido; un ID de comprobación solo puede usarse una vez y caduca treinta minutos después de emitirse; y el borrado a los 180 días es automático, no una tarea que alguien tenga que recordar.

Cada campo de un resultado enviado se contrasta con un esquema estricto antes de almacenarse - tipos, longitudes, valores permitidos y ningún campo inesperado -, porque llega desde el equipo de otra persona. Eso es validación estructural; es lo que impide que el valor de una cookie o un campo desconocido lleguen siquiera a almacenarse, y no la presentamos como defensa frente a toda forma posible de entrada maliciosa.

Nuestros registros de operación merecen un párrafo propio, porque el registro es donde los servicios suelen guardar precisamente los datos que dicen no guardar. Los registros del servidor MCP recogen solo diagnóstico de ejecución: arranque, duración, memoria, errores. No contienen ninguna dirección IP, ninguna dirección de página ni ningún resultado de comprobación, el registro de solicitudes en el gateway está desactivado, no simplemente sin usar, y los registros se borran a los 14 días.

Si cambia lo que el plugin envía, este aviso cambia con ello, en la misma versión. La fecha de arriba indica cuándo cambió por última vez. Los cambios sustanciales se recogen en las notas de versión del plugin, de modo que una actualización te avisa en lugar de dejarte a ti la tarea de releer esta página.

Las preguntas sobre este aviso, o las solicitudes relativas a tus datos, pueden dirigirse a support@cookiepal.io, o por correo postal a CookiePal Limited, 10 Orange Street, Londres WC2H 7DQ, Reino Unido.

Es el mismo contacto de privacidad que atiende las solicitudes del resto de CookiePal, y sus datos, incluido un teléfono, están en nuestra página de contacto de protección de datos. No necesitas indicar a qué parte de CookiePal se refiere tu solicitud.