Política de Privacidad y Protección de Datos de Carácter Personal

1. Identificación del Responsable del Tratamiento

En cumplimiento de lo dispuesto en el artículo 13 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, «RGPD»), y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, «LOPDGDD»), se informa al usuario de los siguientes extremos:

Responsable del tratamiento: Aitor Sánchez Gutiérrez, persona física de carácter privado, en adelante «el Responsable» o «el Titular».

Dirección de contacto a efectos de protección de datos: blog.cottage627@passinbox.com

Ámbito territorial: Reino de España, con sujeción a la normativa europea de protección de datos de carácter personal.

El Responsable declara no estar obligado a designar un Delegado de Protección de Datos (DPD/DPO) conforme al artículo 37 del RGPD, dado el carácter personal y no sistemático del tratamiento de los datos recopilados a través del presente sitio web.

2. Datos Personales Objeto de Tratamiento

El Responsable trata, con carácter general, las siguientes categorías de datos personales, obtenidos de forma automatizada o facilitados directamente por el interesado:

2.1. Datos recogidos de forma automatizada mediante registro de acceso

Con motivo de cada acceso al sitio web, los servidores de la plataforma Cloudflare, Inc. —encargada del tratamiento— recogen y transmiten al Responsable los siguientes datos de carácter técnico:

• Dirección de Protocolo de Internet (dirección IP) del dispositivo desde el que se realiza el acceso, en formato IPv4 o IPv6, según corresponda.
• País, región y ciudad de origen de la conexión, derivados de la dirección IP mediante geolocalización proporcionada por la infraestructura de Cloudflare.
• Agente de usuario (user-agent), que incluye información sobre el navegador web, el sistema operativo y el tipo de dispositivo empleado.
• URL de referencia (referer), entendida como la dirección del recurso web desde el cual el usuario accede al presente sitio, cuando dicha información es transmitida por el navegador del interesado.
• Identificador del recurso solicitado (slug o ruta del artículo o sección visitada).
• Marca temporal de la solicitud, expresada en formato ISO 8601 (UTC).
• Indicador de tráfico automatizado (bot), obtenido mediante análisis heurístico del agente de usuario.

2.2. Datos facilitados voluntariamente por el interesado mediante el formulario de comentarios

El usuario que desee publicar un comentario en los artículos del sitio web deberá facilitar, como mínimo, los siguientes datos:

• Nombre o seudónimo (campo obligatorio).
• Dirección de correo electrónico (campo opcional, no publicado).
• Contenido del comentario (campo obligatorio), con un límite máximo de dos mil (2.000) caracteres.

Adicionalmente, con carácter técnico, se registra la dirección IP desde la que se remite el comentario, a efectos de control de abuso y limitación de frecuencia de envío (rate limiting).

2.3. Datos tratados mediante Google Analytics 4

El presente sitio web utiliza el servicio Google Analytics 4, prestado por Google LLC (en adelante, «Google»), con domicilio social en 1600 Amphitheatre Parkway, Mountain View, California 94043, Estados Unidos. Dicho servicio emplea cookies y tecnologías similares para recopilar información sobre el comportamiento de navegación de los usuarios de forma agregada y seudonimizada, incluyendo, entre otros, datos de sesión, páginas visitadas, duración de la visita, tipo de dispositivo y ubicación geográfica aproximada.

3. Finalidades del Tratamiento

Los datos personales recogidos a través del presente sitio web son tratados con las siguientes finalidades:

• Finalidad estadística y analítica: conocer el volumen de visitas, los artículos más consultados, la procedencia geográfica de los lectores y el comportamiento de navegación, con el objeto de mejorar los contenidos y la experiencia del usuario.
• Finalidad de seguridad: detectar, prevenir e investigar accesos no autorizados, actividad maliciosa, ataques automatizados (bots), intentos de intrusión y otras amenazas a la integridad del sistema.
• Gestión y moderación de comentarios: recibir, revisar, aprobar o rechazar los comentarios enviados por los usuarios, garantizando la calidad y legalidad del contenido publicado.
• Limitación de abuso: controlar la frecuencia de envío de comentarios y de intentos de acceso al panel de administración, mediante mecanismos de rate limiting basados en la dirección IP.

4. Base Jurídica del Tratamiento

El tratamiento de los datos personales descritos en la presente política se fundamenta en las siguientes bases jurídicas, conforme al artículo 6 del RGPD:

• Interés legítimo del Responsable (art. 6.1.f RGPD): el registro de datos técnicos de acceso —dirección IP, user-agent, referer y marca temporal— se realiza al amparo del interés legítimo del Responsable en garantizar la seguridad, integridad y correcto funcionamiento del sitio web, así como en obtener estadísticas de uso de carácter general. Se ha realizado el correspondiente test de ponderación, concluyéndose que dicho interés legítimo no prevalece de forma injustificada sobre los derechos y libertades fundamentales de los interesados, habida cuenta del carácter no intrusivo de los datos recogidos y de las medidas técnicas adoptadas.
• Consentimiento del interesado (art. 6.1.a RGPD): el uso de Google Analytics 4 y las cookies asociadas se sustenta en el consentimiento implícito del usuario, manifestado mediante la continuación de la navegación tras haber sido informado de dicho uso a través del aviso informativo visible en el sitio web. El interesado puede revocar en cualquier momento dicho consentimiento mediante los mecanismos indicados en el apartado 8 de la presente política.
• Consentimiento del interesado (art. 6.1.a RGPD): el tratamiento de los datos facilitados a través del formulario de comentarios se basa en el consentimiento libre, específico, informado e inequívoco del interesado, prestado mediante el acto positivo de cumplimentar y enviar el formulario.

5. Plazo de Conservación de los Datos

Los datos personales serán conservados durante los plazos que se indican a continuación, transcurridos los cuales serán suprimidos o anonimizados:

• Registros de acceso y datos técnicos de visita: se conservarán durante un período máximo de doce (12) meses desde su recogida, procediéndose a su eliminación o anonimización de forma periódica. Dicho plazo se establece atendiendo a los fines de seguridad y estadística que justifican su tratamiento.
• Comentarios aprobados: se conservarán de forma indefinida mientras el artículo al que están asociados permanezca publicado, salvo que el interesado solicite su supresión conforme al apartado 7 de la presente política.
• Comentarios rechazados o pendientes de moderación: podrán ser eliminados en cualquier momento por el Responsable, sin necesidad de notificación previa al interesado.
• Registros de intentos de acceso al panel de administración: se conservarán durante un período máximo de noventa (90) días, transcurridos los cuales serán eliminados automáticamente.
• Datos tratados por Google Analytics: con sujeción a la política de retención configurada en la plataforma, que no excederá de catorce (14) meses, conforme a las recomendaciones de las autoridades europeas de protección de datos.

6. Destinatarios y Transferencias Internacionales de Datos

Los datos personales objeto de tratamiento podrán ser comunicados a los siguientes destinatarios, en su condición de encargados del tratamiento:

• Cloudflare, Inc. (101 Townsend St., San Francisco, CA 94107, EE. UU.): proveedor de la infraestructura de red, alojamiento, base de datos D1 y servicios de seguridad. Cloudflare procesa datos en centros de datos ubicados en la Unión Europea y en terceros países. Las transferencias internacionales se amparan en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea y en el Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. Data Privacy Framework), conforme a la Decisión de Adecuación de la Comisión de 10 de julio de 2023.
• Google LLC (1600 Amphitheatre Parkway, Mountain View, CA 94043, EE. UU.): proveedor del servicio Google Analytics 4. Las transferencias internacionales se amparan en las mismas garantías indicadas para Cloudflare. La política de privacidad de Google está disponible en policies.google.com/privacy.

No se prevén cesiones de datos a terceros con fines comerciales, publicitarios o de cualquier otra índole ajena a las finalidades descritas en la presente política.

7. Derechos de los Interesados

El interesado podrá ejercitar, en cualquier momento y de forma gratuita, los derechos reconocidos en los artículos 15 a 22 del RGPD y en los artículos 13 a 18 de la LOPDGDD, en los términos y con las limitaciones previstos en dichas normas:

• Derecho de acceso (art. 15 RGPD): a obtener confirmación sobre si el Responsable trata datos personales que le conciernen y, en su caso, a acceder a los mismos.
• Derecho de rectificación (art. 16 RGPD): a obtener sin dilación indebida la rectificación de los datos personales inexactos que le conciernan.
• Derecho de supresión o «derecho al olvido» (art. 17 RGPD): a obtener la supresión de sus datos personales cuando, entre otros motivos, los datos ya no sean necesarios para los fines para los que fueron recogidos.
• Derecho a la limitación del tratamiento (art. 18 RGPD): a solicitar la limitación del tratamiento de sus datos en determinadas circunstancias.
• Derecho a la portabilidad de los datos (art. 20 RGPD): a recibir los datos personales que le incumban en un formato estructurado, de uso común y lectura mecánica, cuando el tratamiento esté basado en el consentimiento o en un contrato.
• Derecho de oposición (art. 21 RGPD): a oponerse al tratamiento de sus datos en cualquier momento, por motivos relacionados con su situación particular, cuando el tratamiento se base en el interés legítimo del Responsable.
• Derechos en relación con decisiones individuales automatizadas (art. 22 RGPD): a no ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o le afecte significativamente.

El ejercicio de los referidos derechos podrá realizarse mediante comunicación escrita dirigida al Responsable a la dirección de correo electrónico blog.cottage627@passinbox.com, adjuntando copia de un documento acreditativo de la identidad del solicitante. El Responsable responderá en el plazo máximo de un (1) mes desde la recepción de la solicitud, prorrogable por dos meses adicionales en casos de especial complejidad.

Sin perjuicio de cualquier otro recurso administrativo o acción judicial, el interesado tendrá derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), autoridad de control competente en España, con domicilio en C/ Jorge Juan, 6, 28001 Madrid, a través de su sede electrónica en www.aepd.es, cuando considere que el tratamiento de sus datos personales infringe el RGPD o la LOPDGDD.

8. Política de Cookies

El presente sitio web utiliza cookies técnicas y de análisis. A continuación se detalla su uso:

• Cookies técnicas de sesión: utilizadas exclusivamente para el funcionamiento del panel de administración del sitio web, mediante un token de autenticación JWT almacenado en una cookie HttpOnly, Secure y SameSite=Strict. Esta cookie no es accesible desde JavaScript y no tiene finalidad de seguimiento.
• Cookies de análisis de Google Analytics 4: utilizadas para medir el tráfico del sitio web de forma agregada. Google Analytics emplea cookies propias (como _ga, _ga_XXXXXX) con una duración de hasta veintiséis (26) meses. No se utilizan para fines publicitarios ni de remarketing.

El usuario puede desactivar las cookies de Google Analytics instalando el complemento oficial de inhabilitación disponible en tools.google.com/dlpage/gaoptout, o mediante la configuración de privacidad de su navegador web.

No se utilizan cookies de publicidad comportamental, cookies de terceros con fines de seguimiento entre sitios, ni ninguna otra tecnología de rastreo no declarada en la presente política.

9. Medidas de Seguridad

El Responsable ha adoptado las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos personales y evitar su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos. Entre dichas medidas se encuentran:

• Cifrado de todas las comunicaciones mediante el protocolo HTTPS con certificado TLS válido.
• Implementación de cabeceras de seguridad HTTP: Strict-Transport-Security (HSTS), Content-Security-Policy (CSP), X-Frame-Options, X-Content-Type-Options, Referrer-Policy y Permissions-Policy.
• Autenticación reforzada del panel de administración mediante tokens JWT firmados con algoritmo HMAC-SHA256 y caducidad de ocho (8) horas.
• Limitación de intentos de acceso al panel de administración (rate limiting) por dirección IP.
• Sanitización del contenido HTML generado a partir de Markdown mediante la librería sanitize-html, con objeto de prevenir ataques de tipo Cross-Site Scripting (XSS).
• Almacenamiento de datos en infraestructura de Cloudflare D1, con cifrado en reposo y en tránsito.

10. Modificaciones de la Política de Privacidad

El Responsable se reserva el derecho a modificar la presente política de privacidad en cualquier momento, con el fin de adaptarla a novedades legislativas, jurisprudenciales, criterios de la Agencia Española de Protección de Datos o cambios en los servicios prestados. Cualquier modificación sustancial será comunicada mediante la actualización de la fecha de revisión que figura en el encabezado del presente documento. Se recomienda al usuario revisar periódicamente esta página.

La presente política fue redactada en lengua castellana, siendo esta la versión auténtica a todos los efectos legales.

11. Legislación Aplicable y Jurisdicción

La presente política de privacidad se rige por el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD), la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSICE), y demás normativa aplicable en el Reino de España. Para la resolución de cualquier controversia derivada de la interpretación o aplicación de la presente política, las partes se someten, con renuncia expresa a cualquier otro fuero que pudiera corresponderles, a los Juzgados y Tribunales competentes conforme a la legislación española vigente.