Política de privacidad de Ofusca

Dónde ocurre el tratamiento

Ofusca abre el documento, lo analiza y lo censura dentro de tu navegador. Censurarlo no sube el archivo a ningún servidor, y las funciones opcionales que llevan un documento de un dispositivo a otro, como compartir o escanear con el móvil, solo mueven contenido que ya va cifrado desde tu equipo, con la clave en el fragmento de la URL, que nunca llega a nosotros.

Los servidores están ubicados físicamente en Francia (Unión Europea), en dos VPS de OVH SAS. En el de Ofusca se guardan los datos temporales cifrados y desde él se sirven también las tipografías y los modelos de OCR, no desde redes de distribución externas. El otro aloja Cap, la instancia propia de la verificación antiabuso, y guarda la copia de seguridad diaria de los datos que el de Ofusca conserva en su disco, cifrada con una clave que solo tenemos nosotros y borrada a los 14 días. Fuera de esos dos servidores, los registros de sus servidores de entrada se archivan cifrados en Cloudflare y en un equipo propio del titular en España, y lo que guardan los demás proveedores se detalla en «Servicios de terceros y subencargados».

Responsable del tratamiento: José Manuel Ortega de la Calle, con contacto en privacidad@ofusca.app. El titular y los buzones figuran también en el aviso legal.

Arquitectura

Ofusca procesa el documento íntegramente en tu navegador. Es una aplicación de una sola página que puedes instalar en tu equipo (SPA/PWA).

Los siete efectos se aplican sobre los píxeles en memoria mediante Canvas 2D. Cinco de ellos, el relleno sólido, el desenfoque, el pixelado, la trama y el código de rastreo, ocultan lo que hay debajo, aunque el desenfoque y el pixelado a baja intensidad pueden dejarlo legible o reconstruible, así que para el texto conviene el relleno sólido. Los otros dos, el sello y el texto personalizado, son anotaciones que se superponen sin tapar nada.

Las funciones avanzadas, es decir, la detección de caras, el reconocimiento de texto (OCR), los patrones de expresiones regulares (regex) y el informe de auditoría, operan íntegramente en el navegador.

La exportación limpia los metadatos: los PNG salen sin EXIF y los PDF sin autoría ni fechas de creación. El identificador de copia, cuando lo activas, viaja esteganográficamente en los PNG y como bloque final en los PDF.

Lo que puedes comprobar tú

Lo que Ofusca hace en tu navegador puedes comprobarlo con sus herramientas de desarrollo. Abre la pestaña de red, trabaja con un documento y comprueba que ninguna petición lleva tu documento.

Las herramientas del navegador no permiten comprobar lo que ocurre dentro del servidor. Eso incluye los plazos de borrado, la clave con la que se calculan las huellas de los contadores antiabuso, que la aplicación no anote una línea por visita o que de las visitas que llegan desde nuestras páginas solo se guarde el total de cada día.

Si prefieres no depender de nuestra declaración sobre el servidor, el modo búnker impide que la aplicación envíe datos, y puedes comprobarlo en esa misma pestaña de red.

Almacenamiento en tu navegador

Nada de esto se transmite a ningún servidor, se queda en tu navegador. Casi todo son datos técnicos de configuración. Pueden contener datos personales la sesión autoguardada, que guarda el propio documento, y el historial de búsqueda, que se describen más abajo con su plazo. También pueden contenerlos los tres casos siguientes.

El registro de copias emitidas guarda lo que tú escribas como destinatario y el nombre de tus archivos. Tus plantillas guardan el texto de los sellos.

Si marcas «Recordar en este navegador», también se guardan el destinatario, la finalidad y los últimos textos de sello y de texto personalizado.

Ofusca no utiliza cookies, ni propias ni de terceros, solo el almacenamiento local del navegador.

Preferencias y datos locales (localStorage)

• Tema visual, claro u oscuro, o seguir al sistema, y la tinta del fondo que hayas elegido para cada uno en Preferencias.
• Tutorial guiado: una marca de tiempo por cada tutorial que ya has visto, es decir, carga de archivos, editor, plantillas, lotes y esteganografía, para no repetirlos.
• Patrones de detección: categorías activas y expresiones regulares personalizadas.
• Detección con IA: si has activado la detección de nombres y direcciones, la de firmas manuscritas, el OCR de alta precisión, la detección de caras o la de códigos de barras y QR, si quieres el aviso de los documentos que se ven en una foto o el aviso de posibles datos sensibles, y si usas el repaso con Gemini Nano y su modo rápido.
• Finalidad de la entrega, solo si marcas «Recordar en este navegador»: el destinatario, la finalidad y el último texto de sello y de texto personalizado, más la marca de que lo has pedido. Puede contener datos personales que tú escribas. Sin la casilla todo eso se olvida al salir de la página, y desmarcarla lo borra.
• Configuración del servicio: qué funciones con servidor están activas en este despliegue, para no tener que preguntarlo en cada carga. No contiene datos personales ni contenido de tus documentos.
• Plantillas personalizadas: hasta 20 perfiles de censura que guardes con nombre, con la posición de las regiones y los textos que hayas escrito, es decir, el sello, el texto personalizado, el código de rastreo, los comentarios de cada región y las anotaciones de dibujo. Nunca incluyen el documento.
• Registro de copias emitidas: hasta 200 entradas de las copias con identificador que generes, cada una con el identificador, el nombre del archivo, cómo la entregaste, la fecha y, si lo indicaste, el destinatario. Puede contener datos personales que tú escribas. Permanece solo en este navegador y puedes consultarlo, borrar entradas sueltas o vaciarlo entero desde «Registro de copias emitidas», dentro de «Verificar documento» en la pantalla de inicio.
• Consejos y avisos: si has ocultado los consejos, el aviso de almacenamiento o el aviso de pantalla pequeña, y qué ayudas contextuales has visto ya.
• Autoguardado: si lo has activado o has preferido no hacerlo. Viene apagado, y Ofusca te lo pregunta con el primer cambio que haces en un documento.
• Aviso de primer uso: qué versión del aviso sobre los límites de la detección automática aceptaste al abrir tu primer documento, para no volver a mostrártelo. No guarda la fecha ni ningún otro dato.
• Dibujo y esteganografía: últimos colores de dibujo, última técnica de esteganografía y si se cifra el mensaje.
• Avisos y atajos: si has silenciado los avisos de una sala y si usas atajos de una sola tecla.
• Entrega y exportación: por qué vía entregaste la última copia desde Terminar, si quieres que te proponga recortar al adjuntar y si el PDF exportado lleva texto seleccionable.
• Aspecto del editor: si prefieres el tinte cálido en modo oscuro y con qué intensidad, qué disposición del editor usas en escritorio, si has plegado su barra inferior y si has ocultado el pie del editor.
• Red y rendimiento: si has apagado Conservar el último envío en el inspector de red, si el modo búnker está armado y si activas la aceleración por GPU.
• Versión de la aplicación: el número de la versión que usas en este navegador, para que la página de novedades te marque cuál es y cuántas novedades te faltan. No contiene datos personales.

Aparte de esta lista, la aplicación va anotando en la memoria de la pestaña sus últimas doscientas anotaciones de funcionamiento, entre avisos y errores, sin el contenido del documento. No se guardan en el navegador, se pierden al recargar y no se envían a ningún sitio. Puedes descargarlas desde la Ayuda, en «¿Cómo informo de un error o propongo una mejora?», si quieres acompañar con ellas un correo de contacto.

Datos de esta pestaña (sessionStorage)

El historial de búsqueda, con los últimos 10 términos que hayas buscado dentro del documento, que aquí suelen ser justo los datos que quieres tapar. Por eso permanece en la memoria de la pestaña y no en el equipo.

Lo acompañan dos marcas técnicas, una que impide recargar en bucle cuando se publica una versión nueva y otra que evita que una versión nueva se aplique sola más de una vez cada diez minutos.

Todo esto se borra al cerrar la pestaña.

Recuperación de sesión y motores (IndexedDB)

• Autoguardado, solo si lo activas: archivo original, regiones, trazos, historial de deshacer y configuración para recuperar la sesión. Viene apagado, y se activa al responder a la pregunta que sale con el primer cambio que haces en un documento o desde Preferencias en el panel lateral. Al desactivarlo se borra también lo que ya hubiera guardado. La sesión guardada caduca a las 72 horas, así que al abrir Ofusca pasado ese plazo desaparece sin llegar a ofrecértela. Mientras no vuelvas a abrir Ofusca en este navegador sigue guardada, así que en un equipo compartido conviene desactivar el autoguardado o pulsar «Limpiar caché» al terminar. Se borra automáticamente al exportar, al compartir por enlace, al descartar la sesión recuperable, al pulsar «Inicio», al abrir una plantilla y al cargar un documento nuevo.
• Diccionarios del OCR: la primera vez que usas el OCR, el motor de reconocimiento de texto guarda ahí los idiomas que necesita, español e inglés, y el modelo de la banda MRZ, para no volver a descargarlos. Solo contienen el modelo, nunca tus documentos. Se eliminan con «Borrar todos mis datos» o borrando los datos del sitio desde el navegador.

Uso sin conexión (Service Worker de la PWA)

• Caché de archivos estáticos para uso sin conexión. El código de la aplicación se guarda al instalarla, y las tipografías, el motor de OCR, los modelos de detección básicos y el módulo que cifra los PDF se van guardando a medida que los usas por primera vez. También guarda las capturas de la Ayuda según las consultas, hasta 240 archivos. Nunca almacena documentos del usuario. Se limpia con «Limpiar caché» o con «Borrar todos mis datos».
• Si activas la detección con IA de nombres y direcciones, unos 115 MB, la de firmas manuscritas, unos 46 MB, o el OCR de alta precisión, unos 132 MB, cada modelo se guarda en una caché aparte del navegador. Solo contienen el modelo, nunca tus datos, y puedes eliminarlos por separado cuando quieras desde «Configurar patrones e IA». «Limpiar caché» también los borra, así que tendrías que descargarlos de nuevo.
• El repaso con Gemini Nano, que solo existe en Chrome, usa el modelo del propio navegador. Si Chrome todavía no lo tiene, al activarlo lo descarga de Google como cualquier otro componente suyo, y lo guarda él, no Ofusca. Ni el documento ni lo que el modelo detecta salen de tu equipo.

Los archivos que exportas quedan fuera del alcance de la aplicación. El fichero clave de «Exportar para IA» contiene los datos sin censurar para poder revertir los marcadores. Puedes protegerlo con contraseña. No se sube ni se guarda en ningún almacén.

Servicios de terceros y subencargados

No hay analítica, ni píxeles de seguimiento, ni publicidad, ni SDK de terceros. No usamos Umami, Plausible, PostHog, OpenPanel ni ningún equivalente. Los modelos de detección y de OCR se ejecutan en tu navegador y se sirven desde nuestro propio servidor. Lo que sabemos del uso sale de lo que se describe en «Registros del servidor», que son unos recuentos agregados y los registros técnicos de los servidores de entrada, y de lo que decidas contarnos por los buzones de contacto o por el formulario de sugerencias.

Estos son los terceros que intervienen, para qué y con qué garantía de transferencia. Cap no figura como proveedor porque el reto no lo resuelve nadie de fuera, sino una instancia nuestra que corre en otro servidor, también en Francia. Quien sí es encargado ahí es el alojamiento, y por eso la tabla empieza por él.

Cloudflare, Inc. no entrega el sitio, porque el tráfico de ofusca.app, incluidos los archivos cifrados, llega directamente a nuestro servidor sin pasar por su red. Interviene solo en las dos cosas que se describen a continuación, y en las dos como encargada del tratamiento.

Su red recibe las peticiones al reto antiabuso de Cap antes de que lleguen a nuestra instancia, sin ver nada de tu documento ni de lo que escribes, y les aplica nuestras reglas de cortafuegos y de límite de peticiones. Y guarda el archivo de los registros del servidor de entrada, que le llega cifrado con una clave que solo tenemos nosotros, así que no puede leerlo. Sus servidores pueden estar fuera del Espacio Económico Europeo, y no deposita cookies.

La verificación antiabuso se activa en compartir por enlace, el mensaje efímero y el escaneo o la firma desde el móvil. La resuelve Cap en cualquier navegador, una prueba de trabajo que hace tu propio equipo contra una instancia nuestra que corre en otro servidor, también en Francia, sin ningún proveedor externo que la valore. Su componente se sirve desde el propio servidor de Ofusca, y las peticiones al reto pasan por la red de Cloudflare antes de llegar a esa instancia. Si Cap no responde, esas funciones no se completan hasta que vuelva. En el alta del boletín y en el formulario de sugerencias, la comprobación se hace al enviar.

Lo normal es que lo compruebes tú, pulsando el enlace del correo de confirmación; si tu navegador puede demostrarlo por su cuenta, porque tienes la sesión abierta con tu proveedor de correo, el alta se hace en el acto y en vez del correo de confirmación recibes el de bienvenida.

Para eso, cuando eliges tu dirección en el formulario, es tu navegador y no Ofusca quien busca en el DNS de tu dominio qué proveedor la certifica y le pide un certificado usando la sesión que ya tienes abierta con él. El proveedor recibe la dirección que eliges, pero no sabe en qué web la estás usando, y cada navegador decide si te pregunta antes.

En los dos casos, hasta ese momento tu dirección no está en la lista ni en ningún fichero nuestro, y el proveedor, como con cualquier correo que entrega, conserva 30 días el registro del mensaje que te envió. El alta no guarda tu dirección IP ni tu navegador, salvo la huella del contador antiabuso que se describe en «Registros del servidor», que dura 24 horas en memoria. Los envíos van sin seguimiento de aperturas ni de clics. Al enviar el formulario, tu navegador resuelve antes el reto antiabuso de Cap, cuyas peticiones pasan por la red de Cloudflare sin llevar tu dirección.

En el servidor de Ofusca queda únicamente la constancia de que consentiste, que guarda tu dirección junto a la fecha, la versión del texto y cómo se comprobó que la dirección es tuya, mientras sigas suscrito y hasta tres años después de tu baja.

Cuando lo certifica el navegador, esa constancia guarda además de qué proveedor salió el certificado, que es lo que la sostiene si alguien la discute; para comprobarlo, el servidor consulta el DNS de tu dominio de correo y descarga las claves públicas de ese proveedor, sin mandarle ningún dato tuyo.

Transferencias internacionales

El alojamiento no supone transferencia, porque las dos máquinas son VPS de OVH SAS situados en Francia, y ahí ocurre el tratamiento del lado del servidor, incluido el reto antiabuso de Cap. La copia de seguridad propia de los registros del servidor de entrada se guarda cifrada en un equipo del titular en España, así que tampoco sale de la Unión Europea.

La que sí la supone es Cloudflare, Inc., porque sus servidores pueden estar situados fuera del Espacio Económico Europeo. Actúa como encargada del tratamiento en dos cosas, el paso de las peticiones al reto antiabuso de Cap y el archivo cifrado de los registros de los servidores de entrada. El resto del tráfico del sitio no pasa por su red.

Esas transferencias se amparan en la adhesión de Cloudflare, Inc. al EU-US Data Privacy Framework (decisión de adecuación de la Comisión Europea de 10 de julio de 2023) y en su DPA conforme al RGPD.

En el caso del proveedor de correo, además del mismo marco de adecuación hay Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión 2021/914) y su DPA, que Resend da por firmado para toda cuenta. Esas garantías cubren también los buzones de contacto, cuyo correo entra por Irlanda y se guarda en Estados Unidos.

CrowdSec está establecida en Francia, y lo que envía a proveedores de fuera de la Unión Europea lo ampara, según su política, en Cláusulas Contractuales Tipo.

Tus documentos no pasan por la red de Cloudflare. Los de compartir por enlace, escaneo y mensaje efímero llegan a nuestro servidor de Francia cifrados de extremo a extremo, de modo que ni nosotros podemos leerlos.

Base legal del tratamiento

Las preferencias locales son datos técnicos de configuración, salvo el registro de copias emitidas, las plantillas que guardes con nombre y, si lo pides, los datos de la finalidad de la entrega, que contienen lo que tú escribas y permanecen únicamente en tu navegador. El autoguardado es aparte, porque guarda el documento mismo, y por eso solo funciona si lo activas. Guardar las preferencias no necesita tu consentimiento, porque son ajustes que eliges tú o piezas estrictamente necesarias para la función que estás usando, y nada de ello llega a nuestro servidor.

En el boletín, retirar el consentimiento es tan fácil como darlo, como exige el art. 7.3: todos los correos que te enviamos, desde el de bienvenida hasta cada número, llevan su enlace de baja. Guardamos tu dirección, la fecha, la versión del texto que aceptaste y cómo se comprobó que el buzón es tuyo, para poder demostrar ese consentimiento, que es lo que pide el art. 7.1.

Retención de datos

«Limpiar caché» es un borrado a fondo y no solo de preferencias. El tema visual se conserva. Elimina el resto, incluidas tus plantillas personalizadas, el registro de copias emitidas, los patrones propios, la sesión autoguardada y los modelos de IA que hubieras descargado.

Tampoco borra los diccionarios que el motor de OCR guarda en IndexedDB. Para eso está «Borrar todos mis datos», en el menú Archivo y en Preferencias, que lo borra todo sin excepción, también el tema, o borrar los datos del sitio desde el navegador.

El contenido cifrado también se elimina en el momento si quien envía cierra su ventana sin haber copiado el enlace, o si cancela el escaneo desde el escritorio.

Tus derechos

En el servidor no se guarda ningún documento tuyo. Sí pueden referirse a ti la dirección IP de los registros de los servidores de entrada, del cortafuegos y del límite de peticiones de Cap, la sugerencia que envíes con tu nombre, los correos que nos escribas y tu dirección de correo si te suscribes al boletín, y sobre todo ello puedes ejercer tus derechos como se explica a continuación. Los totales diarios de visitas que llegan desde nuestras páginas no te describen, porque son sumas sin ningún dato de quien visita.

Los registros de la aplicación no guardan tu dirección IP, ni en claro ni como huella, ni ningún otro dato que te identifique. Sus líneas llevan la hora, el método y la dirección pedida, sin identificadores.

Si aun así quieres ejercer tus derechos sobre ellos, danos tu dirección IP y la hora aproximada, que es la información adicional que prevé el artículo 11.2 del RGPD, y buscaremos las líneas de ese momento cruzándolas con los registros del servidor de entrada.

Los registros de los servidores de entrada sí guardan la dirección IP tal cual, durante el plazo de la tabla de retención. Sobre ellos puedes ejercer tus derechos escribiendo a privacidad@ofusca.app con la dirección IP y las fechas que te interesan, y como una dirección IP no demuestra quién eres, puede que te pidamos algo que acredite que era la tuya.

Una petición de supresión se atiende en lo que no impida conservar el rastro de un incidente de seguridad, y lo que no pueda borrarse antes se borra al cumplir su plazo.

Las sugerencias que envíes por el formulario sí se conservan, hasta tres meses. Si pusiste tu nombre, puedes pedir en privacidad@ofusca.app que la tuya se corrija o se borre antes, y de la copia de seguridad cifrada desaparece en 14 días como mucho. Sin nombre, dinos qué escribiste y la fecha aproximada, y si eso no basta, podemos buscarla por la hora y tu dirección IP; si no, se borra al cumplirse el plazo.

En el boletín sabemos quién eres, porque una dirección de correo identifica a una persona, así que el supuesto del artículo 11 no la alcanza. Sobre ella tienes acceso, rectificación, supresión, limitación y portabilidad. Para la supresión basta el enlace de baja de cualquier envío, que borra tu dirección de la lista. La constancia de tu consentimiento, que también la lleva, se conserva tres años más solo para poder demostrarlo si se discute, y una petición de supresión no la borra antes. Para todo lo demás, escribe a privacidad@ofusca.app desde esa misma dirección.

Dejaremos de tratar tus datos para esos fines salvo que haya motivos legítimos imperiosos que prevalezcan, como investigar un ataque en curso, o que hagan falta para formular o defender reclamaciones.

Facilitarnos datos no es un requisito legal ni contractual. Si no quieres hacerlo, lo único que pierdes son las funciones que los necesitan. Aparte del bloqueo automático y temporal de las direcciones IP que disparan una regla de ataque, que no produce efectos jurídicos y se levanta solo, no tomamos decisiones automatizadas sobre ti ni elaboramos perfiles.

Los datos personales que sí pueden acumularse son los que tú escribas en el registro de copias emitidas, en tus plantillas y, si marcas «Recordar en este navegador», en la finalidad de la entrega, y permanecen solo en tu navegador. Puedes consultarlos, corregirlos y borrarlos tú mismo desde la aplicación.

«Exportar preferencias» se lleva tus plantillas, pero deja fuera a propósito el registro de copias emitidas, para que el archivo que descargas no se convierta en un cuaderno portátil de destinatarios.

Para ejercer el derecho de supresión de todos los datos locales, pulsa Borrar todos mis datos, que no necesita ningún documento abierto y que también está en el menú Archivo y en Preferencias del editor, o borra los datos del sitio desde la configuración del navegador. Borra todo lo que Ofusca guarda en este navegador y recarga la aplicación, que al arrancar vuelve a guardar su propio código para funcionar sin conexión, sin ningún dato tuyo. No alcanza al modelo Gemini Nano, que guarda Chrome y no Ofusca, ni a lo que conste en nuestros servidores, que se pide por escrito como se explica en este apartado.

El responsable es José Manuel Ortega de la Calle, con contacto en privacidad@ofusca.app. Puedes presentar reclamación ante la AEPD (se abre en una pestaña nueva).

Almacenamiento cifrado temporal

Compartir por enlace, el escaneo remoto y el mensaje efímero de la esteganografía almacenan temporalmente en el servidor datos cifrados con AES-256-GCM. Cada archivo es indescifrable sin la clave, que nunca llega al servidor. Se elimina en cuanto se descarga y, en todos los casos, poco después de cumplirse el plazo.

Lo que el servidor guarda sin cifrar y sin plazo corto es lo siguiente.

• El formulario de sugerencias, que no lleva documento alguno, solo el texto que decides escribir. Se borra a los tres meses, y de la copia de seguridad cifrada como mucho 14 días después.
• La constancia de que consentiste el boletín, que son tu dirección, la fecha, la versión del texto y cómo se comprobó que el buzón es tuyo. Se borra tres años después de tu baja, y de la copia de seguridad cifrada como mucho 14 días después.
• Una clave aleatoria, sin ningún dato tuyo dentro, que es la mitad de lo que hace falta para leer el enlace de baja de tus correos. Se conserva mientras exista el boletín.
• Los totales diarios de visitas que llegan desde nuestras páginas, sin ningún dato de quien visita. Se borran a los 13 meses.
• Los registros del servidor de entrada, que se describen en «Registros del servidor». Se conservan 12 meses como máximo.

Registros del servidor

El servidor no guarda ni analiza el contenido de los documentos. Los registros de la aplicación se reducen al arranque del servicio y a su apagado ordenado, a avisos de configuración, a los errores de funcionamiento y a alguna nota puntual de la verificación antiabuso que solo anota a qué función afectaba.

Del boletín quedan además una línea por cada alta que certifica tu navegador, con el proveedor que la certificó y sin tu dirección, y los recuentos de la purga diaria.

No se escribe una línea por visita, así que en los registros de la aplicación no hay ningún historial de qué has abierto ni cuándo. El servidor de entrada que va por delante sí anota cada petición, y se explica al final de este apartado.

La línea de un error apunta el método y la dirección de la petición, junto al tipo y el mensaje del fallo. En esa dirección los identificadores van sustituidos por marcadores, porque el identificador de un enlace compartido, de un escaneo o de una sala es la llave de ese contenido y no debe quedar escrito en estos registros. En estos registros de la aplicación nunca se anota el agente de usuario, ni el contenido del documento, ni el nombre del archivo, ni el mensaje que escribas.

Cada cinco minutos, y solo si ha habido movimiento, se escribe además una línea de recuentos con cuántas peticiones se han atendido y cuántas terminaron bien o con error, agrupadas por tipo de dirección.

La misma cuenta separa cuántas visitas a la portada o a la página de una herramienta llegan desde nuestras páginas de guías, herramientas, plantillas y glosario, y desde cuál. Para saberlo, esas páginas piden a tu navegador que indique la página de la que vienes solo cuando el enlace lleva a otra página de Ofusca, y ninguna otra página lo pide.

Son cifras agregadas, sin direcciones IP, sin huellas y sin instantes, de modo que no permiten reconstruir ninguna petición concreta. Los contadores viven en la memoria del proceso y desaparecen al reiniciarlo. Lo único que queda escrito es esa línea de cada cinco minutos y, de las llegadas, el total de cada día por página, sin la hora, durante 13 meses.

Las huellas de la dirección IP, que usan los contadores antiabuso que se describen más abajo, se calculan con HMAC-SHA-256 y una clave secreta que se genera al arrancar el servidor, permanece solo en su memoria y nunca se guarda en ningún sitio. Quien conociera esas huellas no podría recuperar de ellas la dirección original ni comprobar si una dirección concreta aparece, porque para ambas cosas haría falta esa clave. Además, como la clave se renueva en cada arranque, las huellas de periodos distintos tampoco se pueden enlazar entre sí.

Aun así las tratamos como datos seudonimizados y no como datos anónimos, que es lo que corresponde. En los registros de la aplicación la dirección IP original no se almacena en ningún momento.

Para limitar peticiones abusivas se llevan contadores solo en la memoria del proceso, indexados por esa misma huella de la IP, y en el caso de los intentos de PIN también por la sala, para que quien agote los intentos no bloquee al resto de participantes. Caducan en ventanas de 60 segundos, salvo los del alta en el boletín y los del formulario de sugerencias, que cuentan durante 24 horas las peticiones hechas desde una misma dirección IP y desde su red para que nadie pueda agotar el cupo de todos. Todos desaparecen con cada reinicio y no se escriben en disco. Existen también contadores globales que no guardan ningún identificador.

Cuando es tu navegador el que prueba que una dirección es tuya al suscribirte, el servidor guarda además en memoria, durante diez minutos, la huella del número de un solo uso que le entregó para esa comprobación, y así ese número no puede usarse dos veces. Ese número es aleatorio y no lleva nada tuyo dentro; la huella también desaparece con cada reinicio y tampoco se escribe en disco.

Por delante de la aplicación hay un servidor de entrada que recibe las conexiones y aplica un cortafuegos. Ese servidor sí anota cada petición, con la dirección IP, la dirección pedida, el método, el tamaño de la petición, la respuesta con su tamaño y su duración, la hora, el puerto de origen, la versión de TLS y el agente de usuario, que es el texto con el que tu navegador indica qué programa es y en qué versión. De las demás cabeceras solo guarda dos técnicas que traen algunas peticiones automatizadas, y ninguna otra. La dirección pedida va completa, así que en un enlace compartido o en un escaneo incluye su identificador, aunque nunca la clave, que viaja en el fragmento de la URL y no llega al servidor.

Estos registros sirven para detectar y reconstruir ataques. El agente de usuario ayuda a reconocer las herramientas de ataque automatizadas, que suelen delatarse en él. Cada minuto se copian, cifrados con una clave que solo tenemos nosotros, a un archivo en Cloudflare que los conserva 45 días, y de ahí a una copia de seguridad propia, también cifrada, en un equipo del titular en España. Entre el servidor, ese archivo y la copia se conservan 12 meses como máximo.

Las peticiones al reto de Cap, después de pasar por la red de Cloudflare, llegan al servidor de entrada de la otra máquina, que las anota igual, con tu dirección IP, la dirección pedida, la hora y el agente de usuario, y aplica el mismo cortafuegos. Esos registros siguen el mismo camino cifrado y tienen el mismo plazo máximo de 12 meses.

La propia instancia de Cap limita cuántos retos puede pedir cada dirección IP. Para eso guarda tu dirección en memoria unos segundos, y la copia en disco de esa memoria se rehace cada día, así que ahí permanece 24 horas como mucho.

Como esas líneas llevan la hora, la del envío de una sugerencia o la de la confirmación del boletín podrían relacionarse con la sugerencia guardada o la constancia de tu consentimiento por el momento en que ocurrieron. No lo hacemos salvo que tú lo pidas para ejercer tus derechos o que haga falta para investigar un ataque.

El enlace del correo de confirmación lleva tu dirección cifrada y queda anotado como cualquier otra dirección pedida, pero la clave con la que se cifra se destruye a los tres días, así que a partir de ahí esa línea ya no permite leerla a nadie.

El enlace de baja también la lleva cifrada, y ahí la clave no se destruye, porque ese enlace tiene que seguir funcionando mientras sigas suscrito; a cambio va partida en dos, entre un secreto que permanece en la configuración del servidor y un archivo de su disco, de modo que con los registros en la mano, y aunque se tuviera una de las dos mitades, tu dirección sigue sin poder leerse.

Además, la parte cifrada de esos dos enlaces se borra de los registros antes de que salgan del servidor, así que ni el archivo de Cloudflare ni nuestra copia de seguridad la reciben. Solo queda en el propio servidor de entrada, durante los 14 días que guarda sus registros.

El cortafuegos es CrowdSec. Cuando una petición dispara una de sus reglas de ataque, el cortafuegos envía a la empresa que lo desarrolla, CrowdSec, establecida en Francia, la dirección IP, con su ubicación aproximada, la regla que ha disparado y la hora. No le envía la dirección pedida ni el agente de usuario. A cambio recibe la lista comunitaria de direcciones maliciosas de CrowdSec, con la que bloqueamos, igual que con otras listas públicas de direcciones que lanzan ataques, que solo descargamos y a las que no enviamos nada. Las peticiones que no disparan ninguna regla no se comparten. Según su política de privacidad (se abre en una pestaña nueva), CrowdSec trata esos datos como corresponsable y conserva la dirección IP completa durante tres meses. Para ejercer tus derechos sobre ellos puedes dirigirte a cualquiera de los dos, a CrowdSec o a nosotros.

En nuestro servidor, el cortafuegos guarda cada alerta durante 30 días, con la dirección IP, su ubicación aproximada, la regla, la dirección pedida, el método, la respuesta y la hora. En las alertas del filtro que examina cada petición guarda además el agente de usuario, una huella técnica de la petición y el fragmento que disparó la regla.

Aparte, el cortafuegos anota en el registro del sistema la dirección IP, la regla y la hora de cada alerta, y también la IP y la hora cuando una misma dirección abre demasiadas conexiones a la vez. Esas anotaciones siguen el mismo camino cifrado que los registros del servidor de entrada y tienen su mismo plazo máximo de 12 meses.

Seguridad e incidentes

Como Ofusca trabaja en tu navegador, el procesamiento ocurre ahí y de ahí no sale nada por su cuenta. En compartir y escanear, lo que llega al servidor va cifrado de extremo a extremo, así que no puede acceder a su contenido. Al tratar tan pocos datos, el riesgo de brecha es mínimo, aunque nunca sea cero.

Mientras los censuras, los documentos y las imágenes con los que trabajas no se suben a ningún servidor, y esa es la principal medida de seguridad de Ofusca. Un ataque a nuestros servidores no puede llevarse lo que nunca ha estado en ellos. El único sitio donde tu documento podría quedar expuesto es tu propio equipo. Si ese ordenador o ese móvil estuviera comprometido, por ejemplo con un programa malicioso o con una extensión del navegador que lea las páginas que visitas, Ofusca no tendría forma de evitarlo. Mantener tus equipos al día y libres de software malicioso depende de ti y queda fuera de nuestro alcance.

Para lo poco que sí pasa por el servidor aplicamos además estas medidas.

• Cifrado en tu navegador. Lo que viaja cifrado de extremo a extremo usa AES-256-GCM, y la clave va en el fragmento de la URL, que el navegador nunca envía al servidor.
• Conexión siempre cifrada. Todo el tráfico va por HTTPS, y el sitio le indica a tu navegador que no acepte nunca una conexión sin cifrar.
• Conexiones acotadas. La política de seguridad de la página solo le permite conectarse con nuestro servidor y con nuestra instancia de verificación antiabuso. El navegador bloquea cualquier otro destino.
• Un servidor con lo mínimo. La aplicación corre en un contenedor sin privilegios de administrador y con el sistema de archivos en solo lectura, salvo los datos temporales y lo poco que esta política dice que guardamos.
• Acceso denegado si falla la verificación. Las funciones que suben un documento al servidor exigen antes superar un reto antiabuso. Si la verificación no puede completarse, se deniega el acceso en lugar de dejarlo pasar.
• Registros protegidos. Los registros del servidor de entrada se cifran antes de salir de la máquina con una clave que solo tenemos nosotros, como se explica en «Registros del servidor».
• Dependencias vigiladas. Las librerías de terceros van con versiones fijadas, y una versión nueva no se acepta hasta un día después de publicarse. Además hay comprobaciones automáticas de vulnerabilidades conocidas en las dependencias y de credenciales filtradas en el código.
• Revisiones periódicas. Cada cierto tiempo auditamos la seguridad del código y del servidor, y dejamos por escrito lo encontrado y cómo se corrigió.
• Servidores fortificados. Instalan solos las actualizaciones de seguridad del sistema y su cortafuegos cierra al exterior los puertos internos. Una comprobación diaria avisa si aparece abierto alguno que no debería, y un sistema de detección de intrusiones bloquea las direcciones que lanzan ataques.
• Acceso restringido. Solo el titular tiene acceso a los servidores. El panel de administración no tiene ningún puerto abierto a internet, y solo se llega a él por un túnel cifrado y tras una verificación de identidad. Por SSH se entra únicamente con clave, sin contraseña y sin que la cuenta de administrador pueda hacerlo directamente, y esas conexiones usan un intercambio de claves híbrido resistente a la computación cuántica (ML-KEM).

Por cómo está diseñado Ofusca, apenas guardamos datos personales, así que el riesgo de que un incidente afecte a alguien es bajo. Aun así, tenemos un procedimiento escrito para actuar ante uno, y todos quedan registrados, se notifiquen o no. Si alguno afectara a datos personales, lo notificaríamos a la Agencia Española de Protección de Datos en las 72 horas siguientes a conocerlo, salvo que sea improbable que suponga un riesgo para las personas. Si el riesgo fuera alto, escribiríamos a quien nos haya dejado su dirección de correo, como los suscriptores del boletín, y avisaríamos a los demás con un aviso público en esta web.

Si detectas cualquier problema de seguridad, puedes comunicarlo escribiendo a privacidad@ofusca.app, la misma dirección que figura en el archivo estándar security.txt. Si se trata de una vulnerabilidad, te pedimos que no la difundas hasta que la hayamos corregido. Se agradece el aviso responsable.

Menores

Para lo que Ofusca hace en tu navegador no hay edad mínima, y no la hay porque no hay nada que consentir: abrir un documento, censurarlo y exportarlo ocurre en tu equipo y del documento no nos llega nada.

Donde la edad sí importa es en las funciones opcionales que usan servidor, porque esas se apoyan en el consentimiento. El artículo 7 de la Ley Orgánica 3/2018 fija en catorce años la edad a partir de la cual una persona puede consentir el tratamiento de sus datos sin autorización de quien ejerza la patria potestad o la tutela. Por debajo de esa edad hace falta esa autorización para usarlas.

La herramienta no pide la edad para funcionar y no perfila a nadie. Las funciones que sí recogen datos, como el boletín o el formulario de sugerencias, no están pensadas para menores de catorce años, que para usarlas necesitan esa autorización. Si crees que un menor de catorce años ha facilitado datos a través de alguna de ellas, escríbenos a privacidad@ofusca.app y los borramos.

Modo búnker

Todo lo anterior describe qué hacemos con tus datos, pero sigue siendo una declaración nuestra. Si prefieres no depender de ella, el modo búnker descarga en tu equipo lo que la aplicación necesita y después le cierra la salida a la red. El navegador le impide contactar con ningún otro destino, ni siquiera con nuestra instancia de verificación antiabuso, y el propio código de Ofusca le impide llamar a nuestro servidor, algo que puedes comprobar en la pestaña de red o cortando tú la conexión. Mientras esté activo, la aplicación no nos envía nada. Las páginas del sitio que abras aparte, como las guías, sí pasan por el servidor de entrada como cualquier visita, y el navegador puede seguir comprobando por su cuenta si hay una versión nueva. A cambio, compartir por QR, el mensaje efímero, el escaneo con el móvil, el formulario de sugerencias y el alta en el boletín dejan de estar disponibles. Se activa desde la portada, bajo la zona de carga, o en el editor en Archivo, Sesión y privacidad.

Cambios en esta política

Esta política cambia cuando cambia la herramienta o cuando cambia la norma que le aplica. La versión vigente es siempre la publicada en esta página, con su fecha al final, y la aplicación enseña ese mismo texto desde el pie.

Un cambio no altera el tratamiento de datos que ya terminó, porque aquí casi nada persiste: lo que se guardó bajo la redacción anterior o ya se ha borrado o se borrará en el plazo que esa redacción anunciaba.

Esta página y la aplicación abren con un resumen, «Lo básico», y dejan el texto completo a un clic. El resumen ayuda a orientarse, pero no sustituye a esta política, que es la que prevalece si algo difiere.