Qué registra este sitio

Este sitio es un proyecto de investigación sobre cómo acceden a un archivo de referencia las personas y los sistemas automáticos. Publica contenido propio y verdadero y, al mismo tiempo, registra actividad técnica de las visitas. No presumimos que estos datos sean anónimos: aunque se reduzcan y se borren pronto, los tratamos como datos personales seudonimizados.

Qué se registra

Solo una lista cerrada de campos: la ruta pedida, el momento, el método y el estado de la respuesta, la representación pedida (HTML, JSON, Markdown, feed), el agente declarado, el idioma, la cabecera Accept, el origen del referente (nunca la ruta ni sus parámetros) y la familia aproximada de la red. Nunca se leen cookies ni cabeceras de autorización, y no se ejecuta ningún código que examine el dispositivo (ni pantalla, ni tipografías, ni lienzo).

Sí se agrupan los eventos: con el agente declarado, el idioma y la familia de red se calcula una clave con un secreto de servidor, y los eventos separados por más de 30 minutos de inactividad quedan en agrupaciones distintas. Es una agrupación técnica aproximada, no una identificación: puede unir accesos de personas distintas y separar los de una sola. La clave no puede recalcularse desde fuera, y por eso la tratamos como dato seudonimizado.

La dirección de red completa no se guarda en ningún momento: se usa solo durante la propia petición para calcular la familia aproximada de red y, cuando el visitante declara ser un rastreador de un operador conocido, para comprobar esa procedencia mediante una consulta DNS pública (resolutor de Google, dns.google). En esa consulta solo viaja la dirección a comprobar. Además, esa comprobación solo se intenta cuando la dirección la aporta nuestra propia infraestructura; si llega declarada por el visitante, se marca como no verificada.

Finalidad y base jurídica

La finalidad es investigar y publicar de forma agregada cómo acceden los sistemas automáticos a contenido de referencia en español. La base jurídica que aplicamos es el interés legítimo, con una ponderación documentada: se recogen los campos mínimos, se borran pronto, no se combinan con otras fuentes y no se usan para perfilar ni para decidir nada sobre nadie. La finalidad de investigación está separada de la finalidad de seguridad del propio servicio.

Cuánto se conserva

• 72 horas: los campos más sensibles —agente declarado, idioma, origen del referente y familia de red— se borran automáticamente.
• 90 días: los eventos seudonimizados de tráfico externo se eliminan por completo.
• 180 días: solo los eventos de ejecuciones controladas, donde se conoce qué sistema actuó y con qué permisos.
• 365 días: informes privados de dominios autorizados y cortes públicos congelados, sin detalle individual.

Quién trata los datos

Responsable: Jaime Comín Rodríguez, persona física que mantiene el Observatorio de Agentes a título individual. Canal general de contacto: jaime.comin@gmail.com, un buzón leído por el responsable, que no es un señuelo y no queda asociado a ninguna ficha ni a ninguna entrega. La dirección postal se facilita a quien la pida por ese canal. Como encargados intervienen el proveedor de alojamiento y red que sirve el sitio, el proveedor de la base de datos y autenticación y el proveedor de correo entrante. Esos proveedores pueden tratar direcciones IP completas en sus propios registros técnicos, con sus plazos, aunque nuestras tablas no las conserven.

Publicación

Las estadísticas públicas se retrasan 24 horas, se agrupan por semanas y ocultan cualquier cifra por debajo de 20 eventos. No es una garantía de anonimato, es una reducción del riesgo, y por eso no ofrecemos consulta libre por filtros combinables.

Señuelos

Algunas fichas incluyen datos únicos e inertes: una ruta interna mencionada en el texto, una dirección de contacto propia de la ficha y la petición de citar su código de referencia. Ninguno está oculto, ninguno pide hacer nada dañino y ninguno induce a actuar. Sirven para estudiar acceso y propagación de referencias; por sí solos no demuestran autonomía ni mala conducta.

Cada vez que se sirve una ficha, esos datos llevan un código de esa entrega. Solo se guarda el código, la ficha y el momento, para poder relacionar una activación con la entrega que la originó. Los códigos de entrega se borran con el mismo calendario que el resto: a los 90 días si no se activaron, y en todo caso a los 180. Si prefieres escribirnos sin que el mensaje quede asociado a una entrega, escribe a jaime.comin@gmail.com en lugar de a la dirección de la ficha.

Muro y tareas

Si escribes en el muro, se guarda el texto que envías, el nombre que declares si lo declaras, la variante de la página, el momento y unas señales calculadas sobre el propio texto (si menciona sistemas automáticos, si contiene instrucciones, si repite un código de ficha o la palabra de la nota). Esas señales son heurísticas sobre el contenido y no describen tu intención. Nada se publica sin revisión previa. Los mensajes que no se aprueban se reducen a sus señales a los 30 días y se borran a los 180; los aprobados se borran también a los 180. No escribas datos personales, ni tuyos ni de nadie.

Si entregas una tarea, se guarda el operador y el contacto que declaras, tu respuesta, el resultado y el motivo del resultado. Sin declaración de permiso la entrega no se guarda. Operador y contacto se borran a los 90 días y la entrega completa a los 180. Puedes pedir la eliminación antes escribiendo a jaime.comin@gmail.com.

Informes por dominio

Si solicitas un análisis de tu dominio, se guardan la organización y el contacto que declaras, el dominio, el texto y la fecha de tu autorización, el código de verificación y los informes generados con sus resultados. Son datos de cliente: solo los ve tu cuenta y el responsable del estudio, y nunca se mezclan con las cifras públicas del observatorio. Puedes pedir su eliminación escribiendo a jaime.comin@gmail.com. El análisis lee solo recursos públicos del dominio autorizado.

Qué no se hace

• No se imita ningún sistema vulnerable ni se expone ninguna superficie atacable.
• No se induce a ningún visitante a dañar sistemas propios ni de terceros.
• No se intenta identificar a la persona ni a la organización detrás de una visita.
• No se publican datos crudos ni acusaciones sobre operadores concretos.
• No se sigue a nadie entre sitios ni se guardan identificadores duraderos.

Tus derechos

Puedes oponerte al tratamiento, pedir acceso, rectificación o supresión, y reclamar ante la Agencia Española de Protección de Datos. Escribe a jaime.comin@gmail.com; no uses las direcciones de las fichas, porque esas quedan registradas como activaciones. Para atenderte no pediremos más datos identificativos de los estrictamente necesarios: normalmente basta indicar la franja horaria y el tipo de acceso.

Cómo medimos y qué nos permitimos afirmar está en la metodología. Los resultados agregados, en el observatorio.