En resumen
- Sin cuentas, sin rastreo, sin publicidad.
- No guardamos direcciones IP.
- Lo que envía se cifra en su dispositivo antes de enviarse. Nuestro servidor no puede leerlo.
- Los comentarios son públicos una vez que un editor los aprueba.
- La única cookie es la de la verificación antispam, en los formularios.
Qué recogemos
| Cuando usted | Qué se conserva | Qué no |
|---|---|---|
| Lee el sitio | Recuentos anónimos de visitas a páginas, de la analítica sin cookies de nuestro proveedor de alojamiento. | Su dirección IP, un perfil suyo o cualquier cosa que le siga a otros sitios. |
| Envía un testimonio, un caso o pruebas | Su texto y sus archivos, cifrados de modo que no podemos leerlos en el servidor; cuándo llegaron; un hash de su código de recibo. Una dirección de contacto solo si usted la da, y se cifra junto con todo lo demás. | Su dirección IP, el propio código de recibo, ni su nombre salvo que usted lo escriba. |
| Comenta | El nombre visible que usted elija (o “Anónimo”) y su texto. Los comentarios no se cifran, porque están destinados a publicarse tras la moderación. | Su correo electrónico, su dirección IP ni ninguna cuenta. |
| Envía una réplica | Lo mismo que en un envío: cifrado en su dispositivo. | Su dirección IP. |
Cómo funciona el cifrado
Cuando usted presiona enviar, su navegador crea una clave aleatoria nueva, cifra con ella su texto y cada archivo (XChaCha20-Poly1305) y después cierra esa clave por separado con la clave pública de cada editor. Solo las copias cerradas salen de su dispositivo.
Nuestro servidor guarda el resultado y no tiene ninguna clave que pueda abrirlo. Las claves privadas de los editores se guardan fuera de línea, con copias de seguridad impresas, y solo se cargan en un navegador mientras un editor lee los envíos.
Límites: lo que esto no puede proteger
- Nuestro proveedor de alojamiento ve su dirección IP. El sitio funciona en una red de alojamiento que ve la dirección de cada conexión. Nosotros no la guardamos, pero el proveedor la procesa.
- Un sitio comprometido podría servir código alterado. Alguien que se apoderara de este sitio podría modificar el formulario para que enviara sus palabras sin cifrar. El hash publicado del script del formulario permite a cualquiera comprobar el código que recibió; consulte más abajo.
- Su propio dispositivo. El cifrado no protege frente a alguien que pueda ver su pantalla, su historial de navegación o una computadora compartida. Si ese es un riesgo, lea cómo enviar información de forma segura: use una ventana privada, el navegador Tor o un dispositivo que no sea suyo.
- Lo que escribe puede identificarle. Las fechas, los lugares y los pequeños detalles pueden señalar a quien escribe aunque se omita el nombre. Los editores eliminan los detalles identificativos antes de publicar nada, pero piense en lo que incluye.
Cuánto tiempo conservamos la información
| Envíos | Hasta que los editores hayan terminado con el asunto; las copias de seguridad cifradas caducan tras un plazo que se fijará antes del lanzamiento. Una vez enviado, un envío no se puede retirar. |
|---|---|
| Comentarios | Los comentarios aprobados permanecen en la página en la que se publicaron. Los comentarios pendientes y rechazados se eliminan tras un plazo que se fijará antes del lanzamiento. |
| Acciones de los editores | Lo que un editor hizo con un envío (por ejemplo, “contado como corroboración”) queda anotado a efectos de rendición de cuentas, sin su contenido. |
| Recuentos de visitas | Solo cifras agregadas, conservadas por el proveedor de alojamiento conforme a su propia política de conservación. |
Requerimientos legales
Si recibimos un requerimiento legal sobre un envío, lo máximo que podemos entregar desde el servidor es un texto cifrado que no podemos leer, la fecha en que llegó y el hash de su código de recibo. No tenemos direcciones IP que entregar.
En principio, las claves fuera de línea de los editores podrían exigírseles a los propios editores. Esta es una razón más para omitir todo lo que no necesite contarnos.
Verificar el formulario de envío
El script del formulario de envío se carga con Subresource Integrity: su navegador se niega a ejecutarlo si difiere de la versión que la página espera. Publicamos aquí el hash del script para que pueda compararse con lo que recibió su navegador y con copias de esta página archivadas en otros lugares.
- Hash del script del formulario
- Se publicará con la primera versión
Contacto y responsable del tratamiento
Las preguntas sobre privacidad pueden enviarse mediante el formulario cifrado.
- Responsable del tratamiento
- Se designará antes del lanzamiento