Conservación de datos

Versión en revisión. Los plazos de esta página son los que aplica el servicio. La redacción está pendiente de la revisión jurídica final.

Guardar menos tiempo del que se puede es la única medida de privacidad que no depende de que confíes en nadie. Esto es lo que dura cada cosa.

Plazo por defecto

Los acuerdos caducan automáticamente, en la fecha que se les pone al crearlos y que es como máximo un año después. Al caducar dejan de estar vigentes, y como máximo un año más tarde se vacía su contenido: el texto y el título desaparecen y queda solo constancia de que existió, de quiénes fueron parte y de sus fechas. La caducidad no es un castigo: es lo que hace que un acuerdo de hace tres años no siga por ahí describiendo lo que dos personas hablaron una noche.

Cuánto dura cada cosa

El contenido de un acuerdo: Hasta que se vacía solo, como máximo un año después de su fecha de caducidad. Ni retirarlo ni que caduque lo vacía antes: hasta entonces, quien era parte puede seguir leyendo lo que se acordó y viendo si se retiró y cuándo. Si una parte lo borra antes de que la otra lo haya aceptado, se vacía en ese momento; si la otra ya lo había aceptado, queda bloqueado.
Un acuerdo bloqueado: Sin plazo. Queda bloqueado cuando una parte pide borrarlo después de que la otra lo hubiera aceptado: ninguna de las dos puede volver a leerlo, pero su contenido se conserva y el borrado automático no lo toca. Solo se borra si, al borrarse una cuenta, ya no queda nadie más que pueda llegar a él.
El enlace que se comparte: Vive mientras viva el acuerdo. La ventana para unirse con él es más corta; una vez usado, sigue siendo la credencial de quien lo tiene para volver y para retirar su consentimiento.
El enlace del correo de alta: Un día, y un solo uso.
El enlace para recuperar la contraseña: Una hora, y un solo uso.
El enlace para confirmar un cambio de dirección de correo: Una hora, y un solo uso. Guarda la dirección nueva en claro hasta que se consume o caduca.
El enlace para borrar la cuenta: Una hora, y deja de servir en cuanto la cuenta se borra.
Las sesiones abiertas: 30 días desde la última renovación. Puedes cerrarlas antes, una a una, desde tu cuenta.
El registro de auditoría (qué se hizo, cuándo, por quién y desde qué IP): Como máximo un año desde cada anotación, y después se borra solo. Al borrar una cuenta, sus entradas dejan de estar asociadas a ella, pero conservan la dirección IP desde la que se hizo cada cosa hasta que les llega ese plazo.
Los avisos de la pasarela de pago: 30 días desde que llegan. Se guardan tal cual los manda la pasarela y algunos llevan el correo de quien paga. Borrar la cuenta no adelanta ese plazo.
Las incidencias técnicas: Siete días. No llevan ni actor ni IP.
Los datos de facturación: El plazo que exige la normativa contable y fiscal, que en España son cuatro años como mínimo y seis para los libros. Esta obligación es del negocio y no se puede renunciar a ella ni a petición tuya.

Estos borrados los hace una tarea programada que se ejecuta sola cada hora: lo que vence entre una vuelta y otra se borra en la siguiente.

Cómo se borra de verdad

Al borrar una cuenta, la fila se elimina de la base de datos activa. No se marca como borrada y se deja ahí: desaparece, y con ella desaparecen en cascada las sesiones, las llaves de acceso y los enlaces asociados.

Con un acuerdo es distinto, porque es de dos. Lo que se borra es su contenido —el texto y el título— y la fila se conserva con las partes y las fechas: quién fue parte, cuándo aceptó y cuándo dejó de valer es lo que protege a la otra persona. Lo que solo era de una persona —un borrador, una propuesta a la que nadie llegó a unirse— sí se borra entero cuando esa persona borra su cuenta, porque no es de nadie más; y un borrador abandonado se borra solo como máximo un año después de crearlo.

Lo que no podemos deshacer es el pasado. Las copias de seguridad conservan una copia legible de lo que hubiera en el momento de hacerlas, y esa copia sigue existiendo hasta que le toca reciclarse en el turno normal de rotación: siete días como máximo. No hay ningún truco que evite eso, y quien te diga lo contrario te está describiendo un sistema distinto del que tiene.

Rotación de las copias: ninguna copia se guarda más de siete días; pasado ese plazo se recicla, y con ella lo que hubiera dentro.
Dónde se guardan: [PENDIENTE-DUEÑO: proveedor y país donde residen las copias].

Mientras tanto, cada acceso al contenido de un acuerdo queda registrado con la fecha, quién lo hizo y desde qué dirección IP. Es la contrapartida honesta de guardarlo legible: si no podemos hacerlo ilegible, al menos que no se pueda mirar sin dejar rastro.

Si una de las dos personas quiere retirarlo o borrarlo

Un acuerdo es de dos, y por eso retirarlo y borrarlo no hacen lo mismo.

Retirarlo lo deja sin efecto para las dos en el acto. No vacía su contenido: las dos partes pueden seguir viendo lo que acordaron y cuándo se retiró, hasta que se vacía por plazo.
Borrarlo antes de que la otra persona lo haya aceptado vacía su contenido en ese momento.
Borrarlo cuando la otra persona ya lo había aceptado lo bloquea para las dos: deja de estar vigente y ninguna puede volver a leerlo, pero su contenido se conserva, sin plazo.

El bloqueo es una decisión deliberada. Destruirlo del todo porque lo pide una sola de las dos le quitaría a la otra algo que también era suyo, y dejarlo abierto sería seguir enseñando datos íntimos de alguien en contra de su voluntad expresa. Bloqueado, no se le entrega a ninguna de las dos.

Y retirar va en la misma dirección que el resto del producto: irse es retirar el consentimiento, y retirar el consentimiento no se le pide permiso a nadie.

Qué queda cuando borras tu cuenta

La cuenta desaparece de verdad, con sus sesiones, sus llaves de acceso y sus datos. En los acuerdos donde participabas con otra persona, tu parte deja de tener nombre y aparece como «cuenta borrada»: no guardamos ningún dato tuyo para poder seguir llamándote de alguna manera. Los que seguían vigentes pasan a retirados, y la otra persona puede seguir leyéndolos hasta que su contenido se vacía por plazo. Los acuerdos que quedan sin ninguna parte con cuenta y sin ningún enlace vivo se eliminan también.

Lo que queda después es lo de la lista de arriba, cada cosa con su plazo: el registro de auditoría con su dirección IP, los avisos de la pasarela de pago, los acuerdos bloqueados y los datos de facturación.

Se borra desde tu cuenta o, sin iniciar sesión, desde sisex.app/borrar-cuenta: escribes tu correo, te llega un enlace y al confirmarlo la cuenta se borra en el acto, igual que si lo hicieras desde dentro.

Puedes descargar antes todo lo que tenemos sobre ti, en un fichero, desde tu cuenta. El resto está en la política de privacidad.