Política de privacidad
Last updated: 28 de agosto de 2026
Esta traducción se ofrece para facilitar la comprensión. La versión con validez legal es la inglesa; en caso de discrepancia prevalece el texto en inglés.
Esta política explica qué datos personales recoge costdown.org, por qué, cuánto tiempo los conserva, quién más puede verlos y qué puede hacer usted. Es la información exigida por los artículos 13 y 14 del Reglamento General de Protección de Datos (RGPD).
Aquí se describe lo que este servicio hace realmente hoy. Nada de lo que no se haya podido comprobar contra el sistema en funcionamiento figura en este documento.
1. Quién es responsable (responsable del tratamiento)
costdown.org no es una persona jurídica registrada: lo gestiona una persona física. Esa persona es el responsable del tratamiento en el sentido del artículo 4.7 del RGPD.
No se publica una dirección de correo general del responsable. Todo contacto, incluidas las solicitudes del apartado 10, se realiza a través del Contacto. Los mensajes enviados allí se guardan y reciben en el acto un número de expediente, de modo que su solicitud no desaparece en silencio.
La única excepción es [email protected]. Es una dirección específica para comunicar fallos de seguridad, publicada también en /.well-known/security.txt. Existe para que quien encuentre un fallo sepa a dónde escribir; no es un canal para las solicitudes del apartado 10. Para esas, use el formulario de contacto: el mensaje queda guardado y se emite un número de expediente.
2. Delegado de protección de datos
No se ha designado un delegado de protección de datos. El artículo 37.1 del RGPD solo exige designarlo cuando la actividad principal consiste en la observación habitual y sistemática de personas a gran escala, o en el tratamiento a gran escala de categorías especiales de datos. costdown.org no encaja en ninguno de los dos casos: trata datos de reducción de costes industriales, y los datos personales que conserva se limitan a los enumerados en el apartado 4.
3. No le pedimos que se identifique
Este apartado va antes que las tablas porque la mayoría de las políticas de privacidad no pueden escribirlo. Al registrarse, costdown.org pregunta cuatro cosas: una dirección de correo, una contraseña, si usted es profesional o inversor, y el país. Nada más.
Nunca se le pide su nombre real y no existe ningún campo para un número de teléfono. En la plataforma se le identifica mediante un código corto que asigna el sistema (por ejemplo, 2E). Junto a lo que usted publica aparece ese código, no un nombre.
La dirección de correo sigue siendo un dato personal: le identifica, la conservamos y todo lo que dice esta política se le aplica. Sirve para iniciar sesión y para enviarle los correos de la cuenta; los demás usuarios no la ven.
4. Datos que recogemos
| Datos | Origen | Para qué |
|---|---|---|
| dirección de correo y contraseña (almacenada solo como resumen criptográfico) | los facilita usted al registrarse | crear y proteger su cuenta |
| país | lo facilita usted al registrarse | obligatorio, porque las comparaciones solo se hacen dentro de un mismo país |
| código de cuenta, rol, idioma, estado de verificación, estado de suspensión | los genera el servicio | El código de cuenta es aquí su identificador público. El resto sirve para el funcionamiento de la cuenta |
| una breve presentación | opcional, la facilita usted | solo aparece en el perfil público si la rellena. Si la deja vacía, no se muestra nada |
| código de acceso que le agrupa con sus compañeros — se guarda como resumen con clave, el código en sí no se guarda | lo genera el servicio cuando usted o un compañero crea un grupo | permitir que compañeros compartan referencias internas de materiales y las comparen en conjunto sin nombrar a su empleador. Véanse las notas bajo la tabla. |
| nombre del grupo, sector, país, tamaño | opcionales, los facilita usted en la página de empresa | solo si decide rellenarlos. El sector y el país sirven para situar sus cifras en el grupo de comparación correcto. El nombre no se usa en ningún tratamiento que el sistema necesite. |
| sus casos, cifras de coste, colaboraciones, verificaciones y comentarios | los facilita usted | es el contenido mismo del servicio. Lo que publique podrá verlo cualquiera |
| dirección IP registrada junto con la consulta de un caso | de su navegador | contar visitas y detectar abusos |
| dirección IP conservada temporalmente mientras se aplica una limitación de peticiones | de su navegador | impedir el abuso automatizado del registro, del restablecimiento de contraseña y del formulario de contacto |
| historial de cambios de ahorros, inversiones, verificaciones, estados y roles — valor anterior, valor nuevo, qué cuenta, cuándo | lo genera el servicio | para la auditabilidad. Una plataforma de comparación solo vale lo que valga su garantía de que las cifras no se reescriben en silencio |
| nombre, correo, texto y dirección IP introducidos en el formulario de contacto | los facilita usted | responderle e impedir el abuso del formulario |
¿Cómo agrupamos a los compañeros? No nombrando al empleador. El sistema genera un código de acceso aleatorio (por ejemplo, 7KQ2M-XB49P) y usted se lo entrega. Quien lo introduce entra en el mismo grupo. Eso es todo lo que hace falta, y por eso el nombre de la empresa no se usa nunca para esto.
El código de acceso no se almacena. La base de datos guarda su valor HMAC-SHA256; la clave está en un archivo del servidor, no el código. Aquí un resumen simple no bastaría: un código de diez caracteres son unas 10^15 posibilidades, y una tarjeta gráfica las recorrería en minutos. Como la clave del servidor entra en el cálculo, una copia de la base de datos por sí sola no permite reconstruir el código.
Lo decimos con claridad, porque exagerar aquí sería peor que callar: quien administra el servidor tiene tanto la base de datos como la clave. No afirmamos, por tanto, que esos códigos estén fuera del alcance de todos. Lo que sí es cierto: el código nunca se almacena en claro, nunca se registra en los archivos de registro y se muestra una sola vez, al crearlo. Si lo pierde, nadie puede recuperarlo, tampoco el administrador. Cree uno nuevo y revoque el anterior.
También puede poner nombre al grupo, y eso sigue siendo opcional. Hay un campo para ello. Procede de la época anterior a los códigos de acceso y se mantiene para los grupos que quieran una etiqueta. Si lo rellena, se guarda tal como lo escriba y el administrador puede leerlo. Si lo deja vacío (lo predeterminado), todo funciona exactamente igual.
Hay dos campos en la base de datos que nada rellena: el número de teléfono y la zona horaria. Ningún punto del sitio los escribe y ninguna cuenta tiene valor en ellos. Se mencionan aquí para que este documento coincida exactamente con la base de datos, en lugar de omitirlos en silencio.
No hay seguimiento entre sitios web, ni elaboración de perfiles con fines publicitarios, ni decisiones automatizadas o elaboración de perfiles con efectos jurídicos en el sentido del artículo 22 del RGPD.
5. Cookies y almacenamiento del navegador
Mientras no haya iniciado sesión, costdown.org no instala ninguna cookie ni guarda nada en el localStorage o el sessionStorage del navegador. Esto se ha comprobado en el sitio en funcionamiento.
Tras iniciar sesión se instala una sola cookie: user_id. Mantiene su sesión y no tiene otra finalidad. Es técnicamente imprescindible y, por tanto, no requiere consentimiento según el artículo 5.3 de la Directiva sobre privacidad electrónica. Por eso este sitio no muestra un aviso de cookies: no hay nada que preguntar.
La medición de tráfico la realiza Cloudflare Web Analytics, que no usa cookies ni elabora perfiles individuales.
6. Bases jurídicas del tratamiento
| Tratamiento | Base jurídica |
|---|---|
| creación y funcionamiento de su cuenta, publicación de lo que usted envía | artículo 6.1.b — ejecución del contrato con usted |
| cookie de sesión, cifrado de contraseñas, límite de intentos de acceso, limitación de peticiones por IP | artículo 6.1.f — interés legítimo en mantener seguros el servicio y sus usuarios |
| recuento de visitas y medición general del tráfico | artículo 6.1.f — interés legítimo en saber si el servicio se usa |
| historial inalterable de las cifras financieras y de verificación | artículo 6.1.f — interés legítimo en disponer de datos fiables. Esa es precisamente la razón de ser de esta plataforma |
| gestión de los mensajes enviados por el formulario de contacto | artículo 6.1.b para asuntos relativos al servicio; artículo 6.1.c — obligación legal — cuando se trata de solicitudes de los artículos 15 a 22 |
| correos transaccionales (verificación, restablecimiento de contraseña, avisos de cuenta) | artículo 6.1.b — necesarios para prestar el servicio de cuenta |
No está obligado a facilitar estos datos. Ahora bien, sin correo, contraseña y país no puede existir una cuenta, de modo que si se niega no podemos prestarle el servicio. Todo lo que en el apartado 3 se indica como opcional puede quedar vacío sin que nada deje de funcionar.
7. Quién más recibe estos datos
| Destinatario | Qué ve | Condición |
|---|---|---|
| Hetzner Online GmbH (Núremberg, Alemania) | todo lo que el servicio almacena: aloja el servidor y la base de datos | encargado del tratamiento |
| Cloudflare, Inc. | como red situada delante del sitio: su dirección IP, el agente de usuario y la URL solicitada; además, la medición de tráfico sin cookies | encargado del tratamiento |
| Resend (operado sobre Amazon Web Services en Irlanda) | la dirección de destino y el contenido de los correos transaccionales que le enviamos: verificación, restablecimiento de contraseña, avisos de cuenta | encargado del tratamiento |
| otros usuarios de costdown.org | todo lo que usted publica: casos, cifras de coste, comentarios y los campos de perfil que rellene | no son encargados: publicar es precisamente la finalidad |
No vendemos datos personales ni los compartimos con anunciantes o intermediarios de datos. Solo los comunicamos a autoridades públicas cuando la ley lo exige.
8. Transferencias internacionales
El servidor y la base de datos están en Alemania, es decir, dentro de la UE. El funcionamiento diario del servicio no implica, por tanto, transferir sus datos fuera del EEE.
Hay dos excepciones, dichas sin rodeos.
- Cloudflare, Inc. es una empresa estadounidense que opera una red mundial. El tráfico dirigido a costdown.org puede tratarse en nodos situados fuera del EEE. Cloudflare se ampara en las cláusulas contractuales tipo de la Comisión Europea y en el Marco de Privacidad de Datos UE–EE. UU.
- Las copias de seguridad cifradas de la base de datos se replican desde el servidor alemán a una máquina propiedad del administrador situada en un país fuera del EEE, para que un único fallo del proveedor de alojamiento no destruya todas las copias a la vez. Ese país no cuenta con una decisión de adecuación de la Comisión Europea. Las copias se cifran con AES-256 antes de salir del servidor, solo pueden descifrarse con una frase de contraseña que el proveedor no posee, y nadie salvo el administrador la conserva.
9. Cuánto tiempo conservamos los datos
| Datos | Plazo de conservación |
|---|---|
| datos de cuenta y perfil | hasta que usted pida su supresión. Solicítelo por el formulario de contacto y los borramos. |
| casos y demás contenidos que usted publique | hasta que usted los borre o nos pida que lo hagamos. Tenga en cuenta que las cifras ya utilizadas en comparaciones publicadas pueden subsistir de forma agregada y no identificable. |
| historial de cambios de las cifras financieras y de verificación | durante toda la vida del registro, deliberadamente no editable ni suprimible antes de tiempo. Lo impone la propia base de datos, no el código de la aplicación. Sin él, ninguna cifra de esta plataforma sería fiable. Registra qué se cambió y desde qué cuenta, no detalles personales. |
| dirección IP asociada a la consulta de un caso | se conserva junto con el registro de consulta y se borra cuando se borra el caso. |
| direcciones IP usadas para limitar peticiones | solo en memoria; caducan automáticamente dentro de la ventana de limitación (una hora como máximo). |
| códigos de acceso (como resumen con clave) | mientras el código sea válido. Al revocar un código lo marcamos como revocado en lugar de borrar la fila, para que no pueda volver a usarse sin que nadie lo advierta. La fila contiene el resumen, no el código. |
| mensajes del formulario de contacto | mientras el asunto siga abierto y, después, como prueba de que las solicitudes legales se respondieron en plazo. Cerrado el asunto, los borramos a petición. |
| copias de seguridad cifradas | las copias horarias del servidor se conservan 72 horas. La copia diaria que el administrador guarda fuera del servidor, 30 días. Los datos cuya supresión haya pedido pueden seguir en las copias hasta que venzan esos plazos. |
10. Sus derechos como interesado
Conforme al RGPD, puede ejercer en cualquier momento y de forma gratuita los siguientes derechos. Como los términos jurídicos son los que vinculan, se indican junto con una explicación en lenguaje llano.
- Derecho de acceso (artículo 15): preguntar qué datos se conservan y obtener una copia.
- Derecho de rectificación (artículo 16): que se corrijan los datos inexactos y se completen los incompletos.
- Derecho de supresión, el llamado derecho al olvido (artículo 17): que se borren sus datos.
- Derecho a la limitación del tratamiento (artículo 18): que se congele el tratamiento mientras se resuelve una discrepancia.
- Derecho a la portabilidad (artículo 20): recibir sus datos en un formato estructurado, de uso común y lectura mecánica, y que se transmitan a otro responsable cuando sea técnicamente posible.
- Derecho de oposición (artículo 21): oponerse a los tratamientos basados en el interés legítimo, incluido el recuento de visitas descrito más arriba.
- Derecho a retirar el consentimiento (artículo 7.3): cuando un tratamiento se base en el consentimiento, puede retirarlo en cualquier momento, sin que ello afecte a la licitud del tratamiento anterior.
- Derecho a no ser objeto de decisiones automatizadas (artículo 22): costdown.org no adopta decisiones automatizadas con efectos jurídicos o de importancia similar, por lo que este derecho no llega a surgir.
Use el Contacto y elija «Solicitud sobre datos personales». El número de expediente se emite en el acto y respondemos en el plazo de un mes, como exige el artículo 12.3. En solicitudes complejas ese plazo puede ampliarse hasta dos meses más, y le comunicaremos el motivo antes de que termine el primer mes.
11. Derecho a reclamar ante una autoridad de control
Si considera que sus datos se tratan de forma ilícita, puede reclamar ante una autoridad de protección de datos: la de su país de residencia, la de su lugar de trabajo o la del lugar de la presunta infracción (artículo 77 del RGPD). No está obligado a contactarnos antes, aunque por lo general así se resuelve más rápido.
El listado de autoridades de la UE y del EEE lo publica el Comité Europeo de Protección de Datos en edpb.europa.eu. Como los servidores están en Alemania, también son competentes las autoridades federal alemana y bávara.
12. Seguridad
- Las contraseñas se guardan solo como resumen criptográfico, nunca en claro y nunca en los registros.
- Todo el sitio se sirve por HTTPS, con HSTS activado.
- Los fallos de acceso repetidos bloquean temporalmente la cuenta; las peticiones al registro, al restablecimiento de contraseña y al formulario de contacto están limitadas por dirección IP.
- Cada lectura y cada escritura de sus datos se contrasta con los permisos en el servidor, no solo en el navegador.
- Las copias de seguridad se cifran con AES-256, y la restauración a partir de ellas está realmente probada, no simplemente supuesta.
Ningún sistema es completamente seguro. Si encuentra una vulnerabilidad, comuníquela a [email protected] antes de hacerla pública. La misma dirección está publicada en formato legible por máquina RFC 9116 en /.well-known/security.txt. El formulario de contacto también sirve.
13. Menores
costdown.org es una herramienta para quienes trabajan en la industria y no se dirige a menores. No creamos a sabiendas cuentas para menores de 16 años. Si cree que su hijo o hija se ha registrado, comuníquenoslo por el formulario de contacto y eliminaremos la cuenta.
14. Cambios en esta política
Cada vez que este documento cambie, se actualizará la fecha que figura arriba. Si un cambio afecta de forma significativa a sus derechos, avisaremos por correo a los usuarios registrados en lugar de esperar a que lo descubran ellos mismos.