Política de privacidad

Resumen en lenguaje claro

cutty.dev es un acortador de URL. Recopilamos lo mínimo imprescindible para que el servicio funcione: tu email (si inicias sesión), un hash con sal de tu IP (para evitar abusos) y metadatos básicos de los clics (cuántos, desde dónde, qué dispositivo). Todo se guarda en nuestro propio servidor en la UE. No vendemos tus datos, no te perfilamos para publicidad y no enviamos boletines que no hayas pedido.

1. Quién trata tus datos

El responsable del tratamiento es esej.space (autónomo, Polonia). Contacto: [email protected]. Alojamiento: nuestro propio servidor en la UE. Copias de seguridad diarias.

2. Qué recopilamos y para qué

Dato	Finalidad	Conservación
Email	Inicio de sesión + avisos transaccionales (PIN de acceso, restablecimiento de contraseña)	Hasta que borres la cuenta
Hash de IP (con sal)	Límite de frecuencia (anti-fuerza bruta), recuento de clics únicos	365 días (clics) / 1 h (caché de rate-limit)
User-agent + referer + país	Analítica de enlaces (de dónde vienen los clics, qué navegadores)	365 días
Tus enlaces + slugs	Funcionamiento del servicio (redirección)	Indefinidamente (el slug nunca se reutiliza)
Cookies de sesión	Sesión iniciada, desbloqueo con contraseña por enlace	30 días / 24 h
Cookie anónima	Para que puedas «reclamar» los enlaces que creaste antes de iniciar sesión	365 días
Cookie de idioma	Recuerda el idioma que elegiste	365 días

NO recopilamos: IP en bruto, teléfono, dirección, datos biométricos, historial de navegación fuera de cutty.dev, ubicación GPS.

3. Encargados externos

• Proveedor de email transaccional (UE) — te envía los PIN y los avisos. Ve el email del destinatario.
• OAuth de Google / Facebook (opcional) — solo si eliges «Iniciar sesión con Google/Facebook». Recibimos email + nombre + URL del avatar.
• Analítica autoalojada — contador anónimo de tráfico de la página de inicio (NO rastrea los clics en tus enlaces). Puedes desactivarla desde el aviso de cookies.
• Webhooks (opcional) — si configuras una URL de webhook en un enlace, en cada clic enviamos datos básicos del evento (slug, destino, hora, país, referer, user-agent) al servidor que indiques. Tú eliges el destinatario y eres responsable de su política de privacidad.

Por tu seguridad no documentamos públicamente los proveedores concretos que usamos; si tienes alguna duda sobre cumplimiento, escribe a [email protected].

4. Tus derechos (RODO)

• Acceso + exportación — en el panel → Descargar CSV (todos tus enlaces)
• Rectificación — edición de enlaces en el panel
• Supresión — borra tu cuenta en el panel (Cuenta → Eliminar cuenta) o escribe a [email protected]. Los datos de tu cuenta se eliminan. Los slugs de tus enlaces siguen bloqueados (nunca reutilizables), pero se desvinculan de ti y dejan de redirigir.
• Oposición / limitación — escríbenos
• Reclamación — la UODO polaca (uodo.gov.pl) o tu autoridad de protección de datos local de la UE

5. Seguridad

• HTTPS en todas partes
• Contraseñas + tokens de sesión cifrados con algoritmos estándar del sector
• Copias diarias de la base de datos con rotación
• 2FA en los proveedores de OAuth donde esté disponible
• Sin registro de IP en bruto — solo hashes con sal

A propósito no documentamos públicamente los detalles concretos de la infraestructura — forma parte de nuestra postura de seguridad.

6. Cambios en la política

Publicaremos cualquier cambio en esta página (con la fecha arriba) y avisaremos por email a los usuarios con sesión. En ese momento puedes solicitar la eliminación de tus datos si no estás de acuerdo.

7. Contacto

Preguntas, solicitudes RODO, avisos de incidentes: [email protected].

¿Tienes dudas sobre cómo tratamos tus datos o quieres comunicar un problema? Escríbenos a través del formulario de contacto o directamente a [email protected].