Privacidad

Qué sabemos de usted, qué guardamos y durante cuánto tiempo — en palabras claras, porque una promesa que no se puede comprobar no merece hacerse.

Qué no sabemos de usted

Nunca pedimos un nombre, un documento, una dirección ni un teléfono, y no hay dónde escribirlos. Una cuenta es una clave aleatoria: la aplicación la muestra, nosotros la guardamos, y no dice nada sobre quién la tiene.

Nada de lo que sigue se vende ni se comparte con nadie. Existe para poder responder a una orden legal, y para nada más.

Qué guardamos

De cada conexión hecha a través de nuestros servidores anotamos tres cosas: la dirección desde la que llegó la conexión, adónde fue esa conexión y cuándo. Nada más.

El destino se anota tal como lo ven nuestros servidores: una dirección, o el nombre del sitio que pidió el dispositivo. Los registros se conservan hasta 365 días y después se destruyen.

Qué no hay en esos registros

• su cuenta — no se escribe ahí, y no hay manera de averiguar a qué cuenta pertenece un registro
• nada de lo que envió o recibió — no vemos dentro de una conexión cifrada ni lo intentamos
• qué páginas abrió en un sitio, qué escribió o qué le mostraron

El primer punto es el importante. El registro y la cuenta viven en lugares distintos, bajo claves distintas, y nadie puede unirlos, nosotros incluidos.

Quién puede leerlos, y cuándo

Nada del sistema en marcha puede hacerlo. Los registros se cifran en el momento en que se crean, en el propio servidor que los crea, con una clave que no está en nuestra infraestructura en absoluto: la máquina que guarda un año de registros no puede abrir ni uno solo.

Leerlos exige que una persona traiga esa clave en mano. Cada lectura queda anotada: quién, cuándo y con qué fundamento.

Por qué los guardamos

Porque somos una empresa con nombre y domicilio, no un grupo anónimo, y una orden legal dirigida a nosotros tiene que poder responderse. Esa orden pregunta por una dirección en un momento — nunca por un cliente, y por eso en los registros no hace falta ninguno.

Lo que una VPN no hace

Reparte la confianza en lugar de eliminarla: en vez de su proveedor, su tráfico pasa por nosotros. No le vuelve anónimo ante un sitio en el que inicia sesión, ni le protege de alguien a quien usted mismo entrega sus datos. Compruebe siempre con quién trata.

La comprobación que muestra qué se está bloqueando

La aplicación puede comprobar si nuestro servicio es accesible desde donde usted está y enviarnos lo que encontró. Es lo único aquí que describe una red y no a una persona, y está construido para que no pueda hacer lo segundo.

Un informe dice qué servidores nuestros respondieron y cuáles no, y lo mismo sobre unos cuantos sitios conocidos: eso es lo que separa «nuestro servicio está roto» de «su red bloquea cosas». Lleva además su plataforma, la versión de la aplicación, el tipo de conexión —por cable, inalámbrica o móvil— y un país que el propio dispositivo deduce para saber qué sitios locales comprobar: el que usted eligió en la aplicación de escritorio o, si no, el de su operador móvil o el de su zona horaria, y solo de una lista corta, así que fuera de esos países el informe no lleva ninguno. Un teléfono Android envía además el código de su operador móvil, y ese código ya indica el país del operador. Y nada más: ni cuenta, ni dispositivo, ni nombre, ni dirección. La dirección que nuestro servidor ve inevitablemente se convierte en un país y un operador dentro de la propia petición, y después se descarta.

El interruptor está en la aplicación y apagarlo es inmediato: no se mide nada, nada queda esperando envío, y lo que el dispositivo ya había reunido se borra. Un informe concreto se guarda 14 días; solo los recuentos duran más.

Cuando algo no funciona, la pantalla de diagnóstico tiene un botón «Enviar a soporte». Pulsarlo es pedirnos ayuda: la aplicación envía el historial de sus comprobaciones recientes, nuestro soporte lo ve en cuanto llega y la aplicación muestra un código breve de un solo uso para que lo ponga en su mensaje, así sabemos qué historial es el suyo. Soporte lo ve durante 72 horas. Su dirección va con él solo si marca «incluir mi dirección», que está desactivado por defecto — ayuda con los problemas de red. El envío no está vinculado a su cuenta y se borra a los 30 días, o antes, en cuanto se cierra su caso.

Eliminar tu cuenta

Puedes eliminar tu cuenta tú mismo, en cualquier momento y para siempre: en el portal de clientes o desde el menú de la app. Solo necesitas tu clave de acceso. Todo lo relativo a la cuenta se borra al instante, y tus otros dispositivos cierran la sesión la próxima vez que piden la lista de servidores. Para que eso sea posible guardamos durante 90 días una huella unidireccional de la clave eliminada; con ella no se puede recuperar ni la clave ni la cuenta. El registro de una acción del operador sobre una cuenta se guarda 12 meses, y los registros de servicio que puedan mencionarla, 30 días como máximo. La página «Eliminar cuenta», al pie de este sitio, explica cada paso.