Política de cookies

¿Qué son las cookies?

Las cookies son pequeños archivos de texto que un sitio web almacena en tu navegador. Permiten que el sitio recuerde información sobre ti entre visitas, por ejemplo, que has iniciado sesión, que prefieres un idioma concreto o que ya has respondido a un banner de cookies. Algunas cookies son necesarias para que el sitio funcione; otras se cargan solo después de que las aceptes.

Esta Política de Cookies explica qué cookies usa Cliny Pet, qué hace cada categoría y cómo puedes cambiar tu decisión en cualquier momento.

Categorías de cookies en Cliny Pet

Cliny Pet agrupa las cookies en cuatro categorías que coinciden con las opciones del banner de consentimiento:

Categoría	Propósito	Predeterminado	Base jurídica
Necesarias	Sesión de inicio de sesión, defensa CSRF, preferencia de idioma	Activadas — necesarias para que el sitio funcione	RGPD Art 6(1)(b) contrato
Pago	Stripe.js / Stripe Elements durante una compra	Desactivadas	RGPD Art 6(1)(a) consentimiento
Analítica	Estadísticas de uso agregadas y anonimizadas	Desactivadas	RGPD Art 6(1)(a) consentimiento
Marketing	Medición de la eficacia de las campañas de marketing	Desactivadas	RGPD Art 6(1)(a) consentimiento

Las cookies Necesarias no pueden rechazarse porque el sitio no es funcional sin ellas; mantenemos esta categoría deliberadamente reducida (sesión, autenticación, CSRF y el selector de idioma). Las otras tres categorías están desactivadas de forma predeterminada hasta que las habilites explícitamente.

En la versión actual, Cliny Pet carga cero scripts de terceros de forma predeterminada: las categorías Analítica y Marketing son espacios estructurales preparados para una futura integración de proveedores; en la versión inicial no se incluye ningún SDK real de analítica o marketing. La categoría Pago carga Stripe.js solo cuando comienza un flujo de pago.

Por qué pedimos consentimiento

El banner de cookies pide tu consentimiento explícito (RGPD Artículo 6(1)(a)) antes de cargar cualquier cookie o script de las categorías Pago, Analítica o Marketing. Seguimos la regla de prominencia equivalente del Comité Europeo de Protección de Datos: los botones Aceptar, Rechazar y Gestionar tienen el mismo peso visual, de modo que elegir «Rechazar» no sea más difícil que elegir «Aceptar».

Volvemos a pedir consentimiento en dos situaciones:

• Cada 13 meses, en línea con la directriz de la CNIL que se ha convertido en el estándar europeo de facto. Tras 13 meses, tus decisiones previas caducan y el banner se vuelve a mostrar para que puedas confirmarlas.
• Siempre que esta política o nuestra Política de Privacidad o Condiciones del Servicio cambien de forma sustancial. Cada uno de estos documentos lleva un campo de frontmatter policy_version; Cliny Pet deriva una única SHA CURRENT_CONSENT_VERSION a partir de esos tres valores, y cualquier cambio en la SHA activa el flujo de nuevo consentimiento descrito a continuación.

Versionado del consentimiento

Cada registro de consentimiento que almacenamos lleva la SHA exacta de consent_version que aceptaste. Cuando vuelves a visitar Cliny Pet y la versión actual ya no coincide con la versión de tu último registro, volvemos a mostrar el banner de consentimiento con tus decisiones anteriores premarcadas. Solo necesitas confirmarlas o cambiarlas; el banner no es una decisión nueva desde cero. Este flujo de discrepancia es el mecanismo técnico mediante el cual respetamos la directriz EDPB 2024 sobre la frescura del consentimiento tras un cambio sustancial de política.

Si deseas inspeccionar tus decisiones de consentimiento anteriores, la tarjeta Historial de consentimiento de la página /settings/privacy muestra los últimos 10 registros: la consent_version que aceptaste, la marca de tiempo, tus decisiones, tu idioma y el primer octeto de la dirección IP (la IP completa nunca se muestra a la persona usuaria; se conserva en el registro de auditoría con fines forenses).

Scripts de terceros (estado actual)

Cliny Pet aplica un patrón central de puerta de scripts para cada script de terceros que la aplicación podría cargar. La puerta reside en frontend/src/components/cookie-consent/scriptGate.ts y aplica cuatro garantías:

1. Ningún script se carga sin consentimiento. La puerta se niega a inyectar una etiqueta de script de una categoría cuyo consentimiento sea false.
2. Cada carga emite un evento de auditoría. Una carga correcta activa una fila de auditoría consent_script_loaded del lado del servidor que registra la categoría, la URL del script y el hash de Subresource Integrity (SRI).
3. Cada script lleva SRI. Los scripts externos DEBEN cargarse con un atributo de integridad sha384-… para que un CDN comprometido no pueda servir una carga manipulada.
4. No se permite ninguna vía de elusión. Una regla personalizada de ESLint no-direct-script-load prohíbe los literales JSX <script src="…">, document.createElement("script") fuera de la puerta y las etiquetas next/script con un src no literal. La regla se ejecuta en la CI y hace fallar el build ante cualquier infracción.

En la versión actual, la puerta está conectada, pero no se carga ningún script de terceros de forma predeterminada. La carga de Stripe.js se reserva para el flujo de pago de la suscripción. Las categorías Analítica y Marketing son espacios estructurales: hoy no se incluye ninguna integración real de proveedores.

Seguridad y prevención de abusos (Cloudflare Turnstile)

Un script es la excepción a la regla de «ningún script de terceros de forma predeterminada» descrita arriba: Cloudflare Turnstile, una alternativa a los CAPTCHA que preserva la privacidad y que protege los formularios de inicio de sesión y de registro frente al abuso automatizado. Turnstile se carga desde challenges.cloudflare.com y puede establecer una cookie de gestión de bots __cf_bm. Dado que esta protección es estrictamente necesaria para mantener el servicio seguro y disponible, pertenece a la categoría Necesarias y se carga sin solicitar consentimiento, sobre la base de nuestro interés legítimo en la seguridad de la red y de la información (RGPD Artículo 6(1)(f), Considerando 49). Turnstile no se utiliza para elaborar perfiles tuyos ni para rastrearte entre sitios con fines publicitarios; Cloudflare trata estos datos como nuestro encargado del tratamiento.

Por qué Cliny Pet creó su propia plataforma de gestión del consentimiento

Tomamos una decisión de diseño temprana de crear internamente la superficie de consentimiento de cookies en lugar de depender de una CMP de terceros (Cookiebot, OneTrust, etc.). Tres razones:

• Residencia de datos. Las CMP estándar suelen replicar los registros de consentimiento en infraestructura de EE. UU.; nuestro banner propio escribe directamente en nuestra tabla consent_events de la región de la UE, manteniendo cada registro de consentimiento dentro del mismo perímetro de datos conforme al RGPD que el resto de Cliny Pet.
• Aislamiento del System Prompt. El contrato de comportamiento de la IA de Cliny Pet es un artefacto de seguridad fundamental (System Prompt.md), y mantenemos la superficie de código de terceros en la página tan pequeña como sea posible para proteger ese artefacto.
• Trazabilidad de auditoría. Cada registro de consentimiento lleva la SHA exacta de policy_version que aceptó la persona usuaria, además del idioma y el octeto de la IP, todo almacenado junto a nuestros propios eventos de auditoría del backend, consultable en un solo lugar y conservado durante la ventana de 5 años de prueba de consentimiento conforme al RGPD Art 7(1).

Tus opciones

Puedes cambiar tus preferencias de cookies en cualquier momento a través de cualquiera de estas vías:

• Enlace del pie de página: haz clic en «Preferencias de cookies» en el pie de página. El banner se vuelve a abrir con tus decisiones actuales cargadas.
• Configuración dentro de la aplicación: visita la Configuración de privacidad y datos cuando hayas iniciado sesión. La tarjeta de Preferencias de cookies muestra los mismos controles, más una vista del «Historial de consentimiento».
• Controles del navegador: la mayoría de los navegadores también te permiten bloquear o eliminar cookies a nivel de todo el sistema; el menú correspondiente suele estar en Configuración → Privacidad y seguridad. Ten en cuenta que bloquear la categoría Necesarias a nivel del navegador hará que Cliny Pet no sea funcional.

Si anteriormente aceptaste una categoría y ahora deseas retirar tu consentimiento, el cambio surte efecto en la siguiente carga de página: los scripts de esa categoría no se volverán a cargar y las cookies de solo sesión ya establecidas caducarán cuando cierres el navegador.

Contacto

Para cualquier pregunta sobre esta Política de Cookies o sobre cómo ejercer tus derechos relacionados con las cookies en virtud del RGPD, contáctanos en [email protected]. Respondemos en un plazo de 30 días.

---

Esta política se revisa periódicamente y se actualiza siempre que cambian nuestras prácticas. Está sujeta a revisión continua por parte de Counsel con licencia en las jurisdicciones de TR, UE y EE. UU.