Política de Cookies

1. Cookies y almacenamiento: conceptos

Las cookies son pequeños archivos que los sitios web guardan en el navegador. Junto a ellas, el navegador también ofrece otros mecanismos de almacenamiento, como localStorage y sessionStorage. Esta página describe las cookies y el almacenamiento que utiliza De Vuelta a Casa, quién los presta, para qué sirven y cuánto tiempo permanecen.

Parte del sitio carga recursos de terceros (el script antispam de Cloudflare, el script de analítica de Vercel y las teselas de los mapas). Esos recursos pueden registrar la visita o establecer su propio almacenamiento en el navegador conforme a las políticas de cada proveedor. Las secciones 7, 8 y 9 recogen lo que está confirmado en el código y lo que queda pendiente de comprobar en el despliegue de lanzamiento.

2. Resumen de tecnologías, proveedores y finalidades

• Cookies técnicas de sesión (Supabase) — Proveedor: Supabase (autenticación de entidades). Finalidad: mantener la sesión abierta y proteger el inicio de sesión. Duración: se escriben con las opciones por defecto de la librería de autenticación del servidor (ruta «/», SameSite «Lax» y vigencia de 400 días), y se refrescan cada vez que se renueva el token de sesión; la vigencia del token en sí depende de la configuración de sesiones del proyecto. Necesidad: estrictamente necesarias para prestar el servicio solicitado.
• Cookie dvac_blog_vid («me gusta» del blog) — Proveedor: De Vuelta a Casa (cookie propia). Finalidad: evitar votos duplicados en los artículos del blog. Duración: un año, fijada en el código; se escribe una sola vez. Necesidad: necesaria para la función del «me gusta»; no se usa con fines publicitarios.
• localStorage — Proveedor: De Vuelta a Casa (almacenamiento local del navegador). Finalidad: conservar el estado de la aplicación (catálogo de plataformas, metadatos mínimos de propuestas y reportes, y registros de verificación). No se guarda en el navegador ningún correo electrónico, descripción libre, respuesta de captcha ni token antispam de los envíos. Duración: persistente, sin caducidad automática; permanece hasta que la persona usuaria borra los datos del sitio. Necesidad: técnica.
• sessionStorage — Proveedor: De Vuelta a Casa. Finalidad: recordar que el aviso de adopción responsable ya se ha cerrado. Duración: hasta que se cierra la sesión o la pestaña del navegador. Necesidad: técnica.
• Cloudflare Turnstile — Proveedor: Cloudflare. Finalidad: verificación antispam en los formularios públicos. Duración: el token es de un solo uso y se valida en el servidor; el código del sitio no escribe cookies para este servicio. Necesidad: medida de seguridad del servicio; las cookies que el script de Cloudflare pueda establecer están pendientes de comprobación en el navegador.
• Vercel Web Analytics — Proveedor: Vercel. Finalidad: métricas agregadas de uso y rendimiento. Duración: no se identifican cookies ni almacenamiento local en el código local; el comportamiento del script servido por Vercel queda pendiente de comprobación en el despliegue. Necesidad: analítica agregada sin perfilado comercial; la valoración de si exige consentimiento previo queda pendiente de esa comprobación.
• Mapas (OpenStreetMap y OpenFreeMap) — Proveedores: OpenStreetMap y OpenFreeMap. Finalidad: mostrar la ubicación de entidades y avisos. Duración: el sitio no escribe cookies por los mapas; las peticiones de teselas son recursos de terceros que pueden registrar datos técnicos conforme a sus propias políticas. Necesidad: técnica.
• MapLibre GL (motor de mapa) — Proveedor: incluido y servido por el propio sitio, incluido el worker local del mapa. Finalidad: representar el mapa. No contacta con servidores de seguimiento.

3. Cookies técnicas de autenticación y sesión (Supabase)

En las zonas autenticadas (cuentas de entidades y áreas de administración), Supabase emplea cookies técnicas de autenticación y sesión para mantener el acceso entre peticiones y garantizar la seguridad del inicio de sesión. El sitio las gestiona íntegramente en el servidor, tanto al leer la sesión como al refrescarla.

• Proveedor: Supabase, mediante su librería oficial para entornos de servidor.
• Finalidad: mantener la sesión de la entidad autenticada, validar el acceso a las áreas privadas y proteger las operaciones que requieren identidad.
• Nombre: la librería utiliza una clave de almacenamiento con el patrón sb-<referencia-del-proyecto>-auth-token, que puede dividirse en varias cookies cuando el valor es largo. El código de De Vuelta a Casa no fija nombres propios ni modifica esa clave.
• Duración: se escriben con las opciones por defecto de la librería (ruta «/», SameSite «Lax» y vigencia de 400 días), sin que el código del sitio altere esos valores; se refrescan en cada renovación de token, por lo que la sesión se mantiene mientras la persona usuaria la mantenga activa.
• Flujos de acceso y recuperación de contraseña: durante esos flujos se escriben además cookies técnicas de verificador (sufijo «-code-verifier») que el servidor elimina al completarse el flujo.
• Necesidad y consentimiento: son estrictamente necesarias para prestar el servicio solicitado en las áreas autenticadas. No se utilizan con fines publicitarios ni de perfilado.

4. Cookie propia del blog: «me gusta» (dvac_blog_vid)

Los artículos del blog incluyen un botón de «me gusta». Para que una misma persona no pueda acumular votos idénticos, el sitio escribe una cookie propia llamada dvac_blog_vid.

• Proveedor: De Vuelta a Casa (cookie de primera parte).
• Finalidad: identificar de forma mínima al visitante para evitar el voto duplicado. Su valor es un identificador aleatorio generado por el servidor; no contiene datos personales ni se asocia a un nombre, un correo o una cuenta. El voto se almacena en la base de datos como hash del identificador, con una clave secreta que solo existe en el servidor.
• Duración: un año (365 días), valor fijado en el código; se escribe una sola vez y no se renueva automáticamente.
• Atributos: cookie de solo servidor (no accesible desde scripts de la página), SameSite «Lax», marca de conexión segura activada en producción y ámbito de todo el sitio («/»).
• Necesidad y consentimiento: es necesaria para la función del «me gusta». No se utiliza con fines publicitarios, de perfilado ni de seguimiento entre sitios.

5. localStorage

El sitio utiliza localStorage en el navegador para conservar el estado de la aplicación en el propio equipo. Se usa principalmente para:

• El catálogo y el estado de las plataformas (claves «red_de_regreso_platforms_v1» y su control de versión).
• Los metadatos mínimos de las propuestas de plataformas (clave «red_de_regreso_submissions_v1»): identificador, fecha, estado y datos públicos de la plataforma propuesta. No se guardan el correo electrónico, las notas libres, la respuesta al captcha ni el token de Turnstile.
• Los metadatos mínimos de los reportes de problemas (clave «red_de_regreso_reports_v1»): identificador, fecha, estado, plataforma afectada y tipo de incidencia. No se guardan el correo electrónico ni la descripción del problema.
• Los registros de verificación de plataformas (clave «red_de_regreso_logs_v1»).

Cuando una propuesta o un reporte se envía correctamente, el sitio guarda en esa clave únicamente esos metadatos mínimos (identificador, fecha, estado y los datos públicos de la plataforma o el tipo de incidencia). No se guarda ninguna copia local del correo electrónico, de la descripción libre, de la respuesta al captcha ni del token de Turnstile. El contenido completo de lo enviado se transmite activamente al servidor, tal y como se explica en la Política de Privacidad y los Términos y Condiciones (mediante Resend, cuando procede). Además, las copias locales que hubieran quedado guardadas antes de esta corrección se limpian automáticamente —sin dejar correos, descripciones, captchas ni tokens— en cuanto la persona usuaria vuelve a utilizar el formulario correspondiente.

Duración: este almacenamiento es persistente y no tiene caducidad automática en el código; permanece hasta que la persona usuaria borra los datos del sitio o los elimina manualmente. localStorage no se utiliza como almacenamiento de publicidad comportamental ni de seguimiento.

6. sessionStorage

Se utiliza sessionStorage para recordar que la persona usuaria ha cerrado el aviso de adopción responsable. Este estado se mantiene durante la sesión del navegador y se elimina al cerrar la pestaña o la sesión. No contiene datos personales.

7. Cloudflare Turnstile (verificación antispam)

Los formularios públicos del sitio (proponer una plataforma, reportar un problema, publicar un aviso de animal, aportar una contribución al blog y recuperar la gestión de un aviso) incorporan Cloudflare Turnstile como medida antispam. El widget se carga desde https://challenges.cloudflare.com/turnstile/v0/api.js y solo se renderiza cuando existe la clave pública configurada en el entorno.

Comportamiento confirmado en el código: el sitio renderiza el widget de forma explícita, recibe un token de un solo uso y lo valida siempre en el servidor contra https://challenges.cloudflare.com/turnstile/v0/siteverify, comprobando además el dominio y la acción esperada. En producción el proceso es «fail-closed»: si falta la clave secreta del servidor, la solicitud se rechaza. El código de De Vuelta a Casa no escribe ni lee cookies para este servicio.

Pendiente de comprobación en el navegador: queda por verificar en el despliegue de lanzamiento si el script servido por Cloudflare establece cookies propias (por ejemplo, de gestión de bots) o algún otro tipo de almacenamiento en el navegador del visitante, así como su vigencia. El resultado de esa comprobación se incorporará a esta política.

Necesidad y consentimiento: la verificación está vinculada a la seguridad y disponibilidad de los formularios públicos. No se afirma de forma categórica que el servicio esté exento de consentimiento hasta completar la comprobación anterior.

8. Vercel Web Analytics

El sitio tiene activa Vercel Web Analytics, una herramienta de analítica general de uso y rendimiento operada por Vercel. Proporciona datos agregados (por ejemplo, páginas visitadas, tipo de dispositivo o navegador) para entender cómo se usa el sitio y mejorar su funcionamiento. No se utiliza con fines publicitarios ni para elaborar perfiles de navegación con fines comerciales.

• Proveedor: Vercel, que además aloja el sitio. El script de analítica se sirve desde la ruta «/_vercel/insights/script.js» del propio dominio de despliegue.
• Protección implementada en el código local: la analítica se integra con un filtro beforeSend que descarta cualquier evento de una ruta privada (las áreas /admin, /protectora, la gestión de avisos con token privado y las herramientas internas) y cualquier URL que no pueda analizarse de forma segura. Además, las rutas privadas (gestión de avisos con token, áreas /admin y /protectora) y la ruta de la foto privada responden con la cabecera Referrer-Policy: no-referrer.
• Estado de esa protección: existe y está verificada en el código local, pero no se ha validado todavía en el despliegue de Vercel PROD, porque la versión de lanzamiento aún no se ha desplegado. La comprobación final queda pendiente del despliegue de lanzamiento.
• Duración y almacenamiento: en el código local no se identifican cookies ni el uso de localStorage o sessionStorage por la librería de analítica instalada; se trata de datos agregados que no permiten identificar a las personas. Queda pendiente comprobar en el navegador del despliegue qué almacena o envía el script servido por Vercel.
• Necesidad y consentimiento: se utiliza como analítica agregada, sin publicidad ni perfilado comercial. No se afirma de forma categórica que esté exenta de consentimiento previo hasta completar la comprobación anterior.

9. Mapas (OpenStreetMap y OpenFreeMap)

• Proveedores: OpenStreetMap, para las teselas del mapa clásico del directorio de entidades, y OpenFreeMap, para el mapa vectorial experimental (estilo Positron), que en el despliegue de producción está desactivado. El motor de mapa (MapLibre GL) se sirve desde el propio sitio, con su worker local, y no contacta con servidores de seguimiento.
• Finalidad: mostrar la ubicación de las entidades y de los avisos, y ofrecer un enlace al mapa público de OpenStreetMap desde la ficha de cada entidad.
• Cookies y duración: De Vuelta a Casa no escribe cookies por el mapa. Las peticiones de teselas, sprites y fuentes son recursos de terceros que pueden registrar la dirección IP y otros datos técnicos conforme a las políticas de cada servidor; no se ha verificado en el navegador del despliegue si esa infraestructura deja cookies en el equipo de la persona usuaria. Esa comprobación queda pendiente.

10. Otros proveedores con intervención técnica

• Supabase — base de datos, autenticación y almacenamiento de archivos. Fuera de las cookies técnicas de sesión descritas en el apartado 3, no se ha identificado ningún otro almacenamiento en el navegador gestionado por este proveedor.
• Resend — envío de correo transaccional. Opera íntegramente en el servidor: no carga scripts en el navegador ni establece cookies.
• Vercel — alojamiento del sitio y, como se ha indicado, Vercel Web Analytics.

11. Estado actual de seguimiento

En el estado actual del proyecto, De Vuelta a Casa no utiliza intencionadamente:

• Cookies publicitarias.
• Meta Pixel.
• Google Analytics 4 (GA4).
• PostHog.
• Hotjar.
• Microsoft Clarity.
• Herramientas de session replay (reproducción de sesiones).

Tampoco elabora perfiles con fines comerciales ni usa redes de publicidad.

12. Consentimiento y banner de cookies

En el código actual del sitio no hay instalado ningún banner ni plataforma de consentimiento (CMP), y no se ha identificado en el propio código ninguna tecnología que imponga de forma inevitable un consentimiento previo: las cookies del sitio son técnicas de primera parte (sesión de Supabase y «me gusta» del blog), el almacenamiento local y de sesión sostiene el funcionamiento de la aplicación, y la analítica de Vercel es agregada y no utiliza cookies en el código local.

No se afirma, en cambio, que todas las tecnologías estén exentas de consentimiento:la comprobación pendiente descrita en el apartado 13 puede exigir un mecanismo de consentimiento, especialmente respecto a las cookies que establezcan los scripts de terceros (Cloudflare Turnstile, Vercel Web Analytics e infraestructura de mapas). Si esa comprobación mostrara que alguna de ellas requiere consentimiento previo, se implantaría el mecanismo correspondiente y se actualizará esta política antes de dar por válido el lanzamiento.

Si en el futuro se incorporan tecnologías opcionales de analítica o seguimiento que requieran consentimiento, se revisarán esta política y los mecanismos de consentimiento antes de su activación.

13. Comprobación pendiente en el despliegue de lanzamiento

La siguiente comprobación técnica queda expresamente pendiente y se realizará sobre el despliegue real, antes de dar por cerrada esta política:

• Revisar las cookies realmente presentes en el navegador en cada tipo de página (pública, zona autenticada y formularios con Turnstile).
• Confirmar si el script de Cloudflare Turnstile establece cookies propias o almacenamiento en el navegador, y con qué vigencia.
• Confirmar qué almacena o envía el script de analítica de Vercel en el despliegue y que el filtro de rutas privadas actúa también sobre Vercel PROD.
• Comprobar si la infraestructura de teselas de mapas deja cookies en el navegador de la persona usuaria.

Hasta que esa comprobación se realice, esta política se considera provisional en los puntos señalados y se irá actualizando con los resultados.

14. Controles del navegador

La persona usuaria puede ver, bloquear o eliminar cookies y datos de almacenamiento desde la configuración de privacidad de su navegador (normalmente en «Ajustes», «Privacidad» o «Datos del sitio»). También puede borrar localStorage y sessionStorage por sitio, y utilizar la opción de borrado de datos de navegación.

Tenga en cuenta que eliminar las cookies técnicas de sesión puede cerrar su sesión en las áreas autenticadas; borrar el almacenamiento local elimina el catálogo, los metadatos de propuestas y reportes y los registros de verificación guardados en ese equipo; y borrar el almacenamiento de sesión volverá a mostrarse el aviso de adopción responsable.

15. Privacidad y contacto

Esta política se complementa con la Política de Privacidad, donde se detallan los datos personales tratados, sus finalidades, los plazos de conservación y los derechos de las personas usuarias.

Para cualquier duda sobre esta política o sobre el tratamiento de datos en el navegador, puede escribir a contacto@devueltaacasa.es.