Política de privacidad

Responsable del tratamiento

El responsable del tratamiento es el editor de One For All, un particular que actúa a título no profesional (consulta el aviso legal).

Para cualquier pregunta o solicitud relacionada con tus datos, escribe a contact@oneforall-tools.com.

Herramientas que funcionan en tu navegador

La mayoría de las herramientas (PDF, imágenes, video y audio, texto, desarrolladores, diseño, calculadoras, seguridad) procesan tus archivos y textos directamente en tu navegador, mediante WebAssembly y Web Workers. Tus archivos no se suben: nunca llegan a nuestro servidor, así que no podemos verlos, guardarlos ni compartirlos.

Para funcionar, estas herramientas descargan su código y, en algunos casos, un modelo (reconocimiento de texto, transcripción, eliminación de fondos) desde nuestro propio servidor. Estas descargas no contienen nada sobre ti. Algunas preferencias se guardan únicamente en tu navegador; se detallan en la política de cookies.

Herramientas que usan nuestro servidor

Algunas herramientas no pueden funcionar por completo en tu navegador. Cada una lo indica en su zona de trabajo. Esto es exactamente lo que envían y conservan:

• Vista previa Open Graph, análisis SEO y comprobador de enlaces rotos: la dirección web que introduces se envía a nuestro servidor, que descarga la página por sí mismo y en su propio nombre (y también, para la vista previa, su imagen para compartir; para el comprobador, cada enlace encontrado en la página). Los sitios que compruebas ven nuestro servidor, no a ti. No guardamos ni la dirección, ni la página, ni los resultados.
• Conversor de divisas: nuestro servidor descarga los tipos de cambio de referencia publicados por el Banco Central Europeo y los conserva durante 6 horas. Tus importes se calculan en tu navegador y nunca se envían.
• Cuál es mi IP: la dirección que se muestra es la que nuestro servidor ve para tu conexión. Solo aparece en la página, la herramienta nunca la guarda ni la registra, y el país y el proveedor de red aproximados se calculan en nuestro propio servidor a partir de las bases de datos libres de DB-IP, sin consultar a ningún tercero.
• Test de velocidad de internet: tu navegador intercambia datos aleatorios con nuestro servidor para medir tu conexión. No se guarda nada, salvo el contador habitual contra abusos, basado en una huella de tu dirección IP (ver más abajo), que limita el número de tests por hora.

Como cualquier petición, estas pueden figurar en los registros técnicos que se describen más abajo.

Tu cuenta

Solo necesitas una cuenta para las funciones que guardan datos: enlaces cortos, códigos QR dinámicos, páginas de enlaces, sitios web y estadísticas de clics. Para tu cuenta, conservamos:

• tu dirección de correo electrónico;
• tu contraseña, únicamente como hash Argon2id: nunca conocemos ni guardamos la contraseña en sí;
• tu idioma preferido, para escribirte en ese idioma;
• las fechas de creación, de última modificación y de confirmación de la dirección.

Nada más: ni nombre, ni dirección IP, ni información sobre tu dispositivo. Cuando cambias tu dirección de correo electrónico, la nueva dirección se conserva junto con su enlace de confirmación hasta que la confirmes o el enlace caduque.

Cuando te registras o cambias tu dirección de correo electrónico, comprobamos que no procede de un servicio de correo desechable (según una lista conservada en nuestro servidor) y que su dominio puede recibir correo. Para ello, nuestro servidor consulta al DNS únicamente los servidores de correo del dominio (la parte que va después de la @) o, si no tiene ninguno, la dirección del propio dominio, nunca la dirección de correo electrónico completa. No se conserva nada de esta comprobación.

Los enlaces que enviamos por correo electrónico son de un solo uso, y solo conservamos una huella (SHA-256) de cada uno. Un enlace de confirmación (cuenta nueva o dirección nueva) caduca al cabo de 24 horas, y uno para restablecer la contraseña, al cabo de 1 hora.

Una cuenta cuya dirección de correo electrónico nunca se confirma se elimina automáticamente al cabo de 7 días.

Puedes eliminar tu cuenta en cualquier momento desde su configuración. La eliminación es inmediata y definitiva: se borran la cuenta, las sesiones, los enlaces, los códigos QR, la página de enlaces, el avatar, el sitio web (con sus imágenes y mensajes) y las estadísticas.

Sesiones de inicio de sesión

Cuando usas las páginas de inicio de sesión o de registro, una cookie de sesión mantiene tu sesión iniciada y protege los formularios (consulta la política de cookies). En nuestro servidor solo conservamos una huella (SHA-256) del identificador de sesión, tu número de cuenta, un token de seguridad para los formularios y las fechas de la sesión. Ni dirección IP ni información sobre tu navegador.

Una sesión termina tras 2 horas de inactividad y, como máximo, al cabo de 30 días. Si eliges mantener la sesión iniciada, dura 30 días. Al cerrar sesión, termina de inmediato.

Enlaces cortos, códigos QR y páginas de enlaces

Para cada enlace corto, código QR dinámico o enlace de tu página de enlaces, conservamos la dirección de destino, el título que le das, su código corto y las opciones que eliges (contraseña, guardada únicamente como hash Argon2id; fecha de caducidad; límite de clics; activado o desactivado), junto con sus fechas de creación y de modificación.

Para tu página de enlaces: su dirección, el nombre que se muestra, la breve presentación, el avatar, el tema y si los motores de búsqueda pueden indexarla o no. El avatar se vuelve a codificar en nuestro servidor como imagen de 256 × 256, lo que elimina sus metadatos (ubicación, modelo de cámara…).

Una página de enlaces y sus enlaces son públicos por naturaleza: cualquiera que conozca la dirección puede verlos. Pedimos a los motores de búsqueda que no indexen tu página, salvo que decidas lo contrario. Las imágenes de los códigos QR se dibujan en tu navegador y no se guardan.

Sitios web

Para tu sitio web, conservamos su contenido (textos, datos de contacto, horarios, enlaces y las imágenes que subes), sus ajustes, la versión publicada y, durante 90 días, las versiones publicadas anteriores. Las imágenes se reducen en tu navegador y después se convierten en nuestro servidor, lo que elimina sus metadatos (lugar, dispositivo).

Un sitio web es público por naturaleza: cualquiera puede ver los datos profesionales que publicas en él (nombre, dirección, teléfono, información legal), y los buscadores pueden indexarlo si lo permites y si cumple nuestras condiciones.

Cuando un visitante te escribe mediante el formulario de contacto, conservamos su mensaje, su nombre y los datos de contacto que indica, cifrados, durante 90 días como máximo, para que puedas leerlos en tu cuenta. No los leemos, salvo que nos denuncies un mensaje. Los números de tarjeta, los IBAN y los códigos de un solo uso que detectamos se ocultan antes de guardar el mensaje. Para que puedas bloquear a un remitente, también conservamos una huella irreversible de ese remitente.

Las estadísticas de tu sitio web (visitas, clics en botones, mensajes recibidos) son totales diarios, sin cookies ni direcciones IP. Se conservan durante 13 meses.

Como exige a los proveedores de alojamiento la ley francesa para la confianza en la economía digital (LCEN), conservamos durante un año, por cada creación, modificación, publicación o eliminación de tu sitio web, la fecha y la dirección IP utilizada, así como el puerto de origen cuando llega a nuestro servidor. Estos datos se cifran con una clave pública en cuanto se registran: la clave que permite leerlos no está en nuestro servidor, y solo se abren a petición de una autoridad judicial.

Si tu sitio web es objeto de una denuncia o de una decisión de moderación, conservamos una copia congelada de él (contenido e imágenes) hasta la decisión y, después, durante 12 meses, o más tiempo si una autoridad nos lo pide.

Cuando escribes una dirección en el editor, nuestro servidor la envía, sin tu dirección IP, a la base nacional de direcciones de Francia (Base Adresse Nationale, IGN) o, fuera de Francia, a Photon (komoot, datos de OpenStreetMap), para sugerirte direcciones. El mapa que aparece en tu sitio es una imagen que crea nuestro servidor a partir de los datos de OpenStreetMap: tus visitantes no contactan con ningún servicio externo.

Estadísticas de clics

Cuando alguien abre uno de tus enlaces cortos, códigos QR o botones de tu página de enlaces, contamos la visita sin identificar al visitante. Solo guardamos totales diarios por enlace:

• el número de clics por día, con los robots y las vistas previas de enlaces contados por separado;
• el sitio de procedencia, solo como nombre de dominio (por ejemplo, example.com), nunca la dirección completa;
• el tipo de dispositivo (móvil, tableta u ordenador) y la familia de navegador (Chrome, Safari, Firefox…);
• el país, como código de dos letras, solo si lo proporciona una red de distribución de contenido de confianza situada delante de nuestro servidor; nunca deducimos nosotros mismos un país a partir de una dirección IP. En caso contrario, el país se registra como “desconocido”.

Nunca guardamos la dirección IP del visitante, el identificador completo de su navegador ni la dirección completa de la página de procedencia, y nada permite vincular dos clics a una misma persona. Para evitar que las cifras se inflen artificialmente, un visitante solo se cuenta un número limitado de veces por minuto para un mismo enlace: para ello se usa un contador temporal indexado por una huella con clave secreta (HMAC) de la dirección IP, agrupando las direcciones IPv6 por red /64. Este contador no contiene ninguna dirección IP y caduca al cabo de un minuto.

Las estadísticas se conservan mientras exista el enlace y se borran con él o con tu cuenta.

Medición de audiencia

Para saber qué herramientas se usan y mantener el sitio rápido, contamos las páginas vistas: para cada día, el número de visitas por página del sitio y por idioma, el número de respuestas con error y el tiempo de respuesta de nuestro servidor. Las visitas automatizadas (robots, vistas previas de enlaces) se cuentan por separado, a partir del identificador del navegador, que no se conserva.

Este recuento no utiliza cookies, identificadores ni direcciones IP, y nunca registra la dirección completa de la página ni la de la página de procedencia: no se puede reconocer a ningún visitante ni seguirlo de una página a otra. Los contadores brutos de la hora en curso se agrupan en totales diarios y después se borran; estos totales se conservan durante 25 meses.

Denuncias

Cuando denuncias un enlace, una página o un sitio web mediante nuestro formulario de denuncia, conservamos tu denuncia (la dirección afectada, el tipo de problema y tu explicación) y, solo si nos los facilitas, tu nombre y tu dirección de correo electrónico, para revisarla y comunicarte nuestra decisión. Estos datos nunca se comunican a la persona que creó el contenido, salvo que la ley lo exija. Las denuncias se borran 12 meses después de su tramitación.

Prevención de abusos y seguridad

Para proteger el sitio contra ataques de fuerza bruta y abusos (intentos de inicio de sesión, registros, creación de enlaces, herramientas del servidor), contamos las peticiones en periodos cortos. El visitante solo se identifica mediante una huella con clave secreta (HMAC-SHA-256) de su dirección IP, agrupando las direcciones IPv6 por red /64; la dirección IP en sí nunca se guarda. Según la acción, estos contadores duran desde un minuto hasta 24 horas.

Para bloquear el phishing y el malware, nuestro servidor descarga con regularidad listas públicas de sitios peligrosos (URLhaus, de abuse.ch, y OpenPhish) y compara con ellas los destinos de los enlaces en nuestro propio servidor. A estos servicios no se envía nada sobre ti ni sobre tus enlaces.

Los enlaces, códigos QR, páginas de enlaces, sitios web y cuentas detectados o denunciados como abusivos pueden suspenderse o eliminarse (consulta las condiciones de uso). En ese caso, conservamos la fecha y el motivo de la decisión, y te la explicamos por correo electrónico. El código corto de un enlace suspendido o eliminado queda reservado para que no pueda reutilizarse; solo conservamos ese código y la fecha de suspensión. Cada decisión se anota en un registro interno de moderación (fecha, elemento afectado, motivo y autor de la decisión).

Correos electrónicos

Solo enviamos correos electrónicos relacionados con tu cuenta: confirmación de la dirección, restablecimiento de la contraseña, cambio de dirección y avisos de seguridad (contraseña o dirección modificadas, intento de registro con una dirección que ya tiene cuenta). Ni boletines ni publicidad. Se envían a través de nuestro proveedor de correo electrónico, que trata tu dirección y el mensaje únicamente para entregarlos.

Si nos escribes a contact@oneforall-tools.com, usamos tu dirección y tu mensaje únicamente para responderte.

Registros técnicos

Como cualquier sitio web, el nuestro funciona en servidores web que llevan un registro técnico de las peticiones: dirección IP, fecha y hora, dirección solicitada, código de respuesta, página de procedencia e identificador del navegador. Este registro lo conserva nuestro proveedor de alojamiento, OVH SAS, durante el plazo que él fija; solo lo usamos para mantener la seguridad del sitio y corregir problemas, nunca para estadísticas ni elaboración de perfiles. Los enlaces secretos que enviamos por correo electrónico nunca aparecen en él: su parte secreta solo se transmite con el formulario que envías, nunca en la dirección de una página.

Bases jurídicas

• La ejecución del contrato que nos une (las condiciones de uso): tu cuenta, sesiones, enlaces, códigos QR, página de enlaces, sitio web y sus mensajes, estadísticas, los correos de la cuenta y las herramientas del servidor que decides usar.
• Nuestro interés legítimo en mantener el sitio seguro y libre de abusos: contadores de peticiones, controles antiphishing, moderación y registros técnicos.
• El cumplimiento de una obligación legal: conservar los datos de identificación que se exigen a los proveedores de alojamiento y responder a las solicitudes de las autoridades competentes con los datos de que disponemos.

No usamos tus datos con fines publicitarios ni para elaborar perfiles, y no necesitamos tu consentimiento para los pocos elementos que se guardan en tu navegador, como explica la política de cookies.

Plazos de conservación

• Cuenta: hasta que la elimines.
• Cuenta nunca confirmada: 7 días.
• Enlaces enviados por correo electrónico: 24 horas (confirmación), 1 hora (restablecimiento de la contraseña), o hasta que se usen.
• Sesiones: 2 horas de inactividad, 30 días como máximo.
• Enlaces, códigos QR, página de enlaces, avatar y estadísticas de clics: hasta que los elimines o elimines tu cuenta.
• Código de un enlace corto eliminado (el final de su dirección): reservado solo para ti durante 30 días (si eliminas tu cuenta, queda bloqueado para todos en ese plazo), para que nadie más pueda apropiarse de los enlaces y códigos QR que ya has compartido. Después, como ocurre con los nombres de páginas de enlaces que ya no se usan, solo conservamos, sin límite de tiempo, una huella (HMAC) que no permite recuperar el código: únicamente nos indica que ya se ha utilizado y, si alguien vuelve a usarlo, sus nuevos visitantes confirman el destino durante 7 días. En el caso del nombre de una página de enlaces, también conservamos una huella de la cuenta que lo utilizó, mientras esa cuenta exista: se borra cuando se elimina la cuenta.
• Sitio web: hasta que lo elimines o elimines tu cuenta; versiones publicadas anteriores: 90 días.
• Mensajes recibidos a través de tu sitio web: 90 días.
• Estadísticas de tu sitio web: 13 meses.
• Datos que identifican la creación y los cambios de tu sitio web (dirección IP y, si se conoce, puerto): 1 año.
• Copias congeladas de un sitio web denunciado: hasta la decisión y, después, 12 meses.
• Registro de moderación: 12 meses.
• Estadísticas de audiencia (totales diarios anónimos): 25 meses.
• Denuncias: 12 meses después de su tramitación.
• Mensajes que envías a nuestra dirección de contacto: el tiempo necesario para atender tu solicitud y, después, 12 meses como máximo desde nuestra última respuesta.
• Contadores de peticiones: desde un minuto hasta 24 horas.
• Registros técnicos: los conserva nuestro proveedor de alojamiento, OVH SAS, durante el plazo que él fija.
• Copias de seguridad técnicas (base de datos y archivos, para reparar una avería): 14 días; después se borran. Un dato eliminado desaparece también de las copias en un plazo máximo de 14 días.

Los datos caducados ya no pueden usarse. Los borra una limpieza automática que se ejecuta a medida que se usa el sitio, por lo que pueden permanecer almacenados algo más de lo que indican estos plazos.

Quién recibe tus datos

Nunca vendemos ni alquilamos tus datos, y no los compartimos con fines publicitarios. Solo los tratan estos proveedores, por cuenta nuestra y para las finalidades indicadas:

• nuestro proveedor de alojamiento (OVH SAS), que hace funcionar el servidor y almacena la base de datos;
• nuestro proveedor de correo electrónico, para entregar los correos de la cuenta;

Los datos también pueden comunicarse a las autoridades cuando la ley lo exija.

Transferencias fuera de la Unión Europea

Elegimos proveedores de alojamiento y de correo electrónico que almacenan los datos en la Unión Europea. Si esto cambia, esta política lo indicará y precisará las garantías aplicadas.

Tus derechos

El RGPD te reconoce el derecho a:

• acceder a tus datos y recibir una copia;
• rectificarlos: puedes cambiar tu dirección de correo electrónico, tu contraseña y tu idioma en la configuración de la cuenta, y modificar tus enlaces y tu página de enlaces en cualquier momento;
• suprimirlos: al eliminar tu cuenta desde su configuración, se borra de una vez todo lo vinculado a ella;
• recibir los datos que nos has facilitado en un formato estructurado y legible por máquina (portabilidad);
• oponerte a los tratamientos basados en nuestro interés legítimo y solicitar su limitación;
• dar instrucciones sobre el destino de tus datos tras tu fallecimiento.

Para ejercer estos derechos, escribe a contact@oneforall-tools.com, preferiblemente desde la dirección de tu cuenta. Respondemos en el plazo de un mes. Si existen dudas razonables sobre tu identidad, podemos pedirte que la confirmes.

Si consideras que no se respetan tus derechos, puedes presentar una reclamación ante la autoridad francesa de protección de datos, la Comisión Nacional de Informática y Libertades (CNIL) (www.cnil.fr), o ante la autoridad del país en el que resides.

Cómo protegemos tus datos

• conexiones cifradas (HTTPS con HSTS) y cabeceras de seguridad estrictas, entre ellas una política de seguridad de contenido (CSP);
• contraseñas protegidas con un hash Argon2id y comparadas con una lista de contraseñas habituales;
• identificadores de sesión y parte secreta de los enlaces enviados por correo electrónico guardados solo como huellas SHA-256, y nunca incluidos en la dirección de una página; direcciones IP nunca guardadas en claro en nuestra base de datos: solo como huellas con clave secreta en los contadores de peticiones y, para los sitios web, selladas con una clave pública en el registro de identificación;
• herramientas del servidor aisladas: las páginas web las descarga un componente que rechaza las direcciones privadas e internas, y las imágenes que subes se verifican y después se vuelven a codificar en un proceso separado;
• recogida mínima: medición de audiencia anónima, sin cookies ni direcciones IP; sin publicidad y sin rastreo.

Cambios en esta política

Actualizamos esta política cuando el sitio cambia; la fecha que aparece arriba indica la versión vigente. Si un cambio afecta de forma significativa al uso de tus datos, lo comunicaremos por correo electrónico a los titulares de cuentas antes de que se aplique.