Aviso de cookies y rastreo

• Cookies de autenticación (esenciales). Las establece Supabase Auth cuando inicias sesión. Sirven para identificarte en las solicitudes siguientes y que no tengas que iniciar sesión en cada página. HttpOnly, Secure, SameSite=Lax. Caducan cuando cierras sesión o tras un periodo prolongado de inactividad.
• Cookie del token CSRF (esencial). Un valor aleatorio corto vinculado a tu sesión, que se usa para prevenir la falsificación de solicitudes entre sitios (CSRF) en las acciones del servidor y el envío de formularios.
• Preferencias de tema e idioma (funcionales). localStorage en tu dispositivo, sin transmisión al servidor. Guarda si activaste el modo oscuro, elegiste un idioma o cerraste un aviso de bienvenida que solo aparece una vez.
• Almacenamiento seguro de Capacitor (solo iOS / Android). Lo usa la app nativa para recordar el token de actualización de OAuth después de que das tu consentimiento en Google Calendar. Está cifrado por el llavero del sistema operativo. Se borra cuando desconectas Google Calendar o cierras sesión.

• Ni Google Analytics, Mixpanel, Amplitude, Heap, Segment ni ningún otro SDK de analítica.
• Ni Facebook Pixel, ni seguimiento de conversiones de Google Ads, ni ninguna red publicitaria.
• Ni herramientas de grabación de sesiones (Hotjar, FullStory, LogRocket).
• Ni bibliotecas de huella digital del dispositivo (fingerprinting), ni servicios de grafos de dispositivos, ni identificadores entre sitios.
• Ni widgets de terceros para compartir en redes sociales que envíen datos a sus servidores (por ejemplo, botones de «Me gusta» o líneas de tiempo de Twitter incrustadas).

Cuando realizas ciertas acciones, se te redirige a terceros que pueden establecer sus propias cookies en sus dominios (no en el nuestro):

• Stripe Checkout: cuando una familia paga una factura con tarjeta, se le redirige a una página alojada por Stripe en checkout.stripe.com. Stripe establece cookies en su propio dominio para detectar fraudes. Consulta la política de cookies de Stripe.
• Apple ID / Iniciar sesión con Apple (si se usa): la autenticación ocurre en appleid.apple.com, que establece sus propias cookies de sesión durante el flujo de OAuth.
• Google OAuth (cuando los maestros conectan Google Calendar): la autenticación ocurre en accounts.google.com. Google establece sus propias cookies de sesión durante el flujo de OAuth.

Estos flujos son breves. Una vez completada la redirección, vuelves a noteandkey.app y solo quedan nuestras cookies esenciales.

Como solo usamos cookies esenciales / funcionales, no mostramos un aviso de consentimiento de cookies. Según la mayoría de las leyes de privacidad (RGPD, Directiva ePrivacy, PIPEDA, CCPA), no se requiere consentimiento para las cookies estrictamente necesarias para prestar un servicio que el usuario solicitó expresamente, y todas nuestras cookies son de ese tipo.

Si en general no quieres que te rastreen entre sitios, tu navegador ya tiene ajustes para bloquear las cookies de terceros, enviar la señal «No rastrear» (Do Not Track) o usar una ventana privada. Todo eso funciona con normalidad en nuestra app.

En la app de iOS:

• Transparencia en el rastreo de apps (App Tracking Transparency, ATT): no llamamos a requestTrackingAuthorization porque no te rastreamos en otras apps ni sitios web.
• No recopilamos el IDFA. No usamos el IDFV con fines de rastreo.
• No se incluye ningún SDK de analítica de terceros en el binario de la app.

En Android: la misma postura. No recopilamos el ID de publicidad de Google. Ni Firebase Analytics ni nada equivalente.

Si algún día agregamos una cookie no esencial (analítica, pruebas A/B, etc.), añadiremos un aviso de consentimiento explícito antes de que se cargue, y primero actualizaremos esta página.

Preguntas sobre privacidad: [email protected].