Conservación de datos

Versión en revisión. Los plazos de esta página son los que aplica el servicio. La redacción está pendiente de la revisión jurídica final.

Guardar menos tiempo del que se puede es la única medida de privacidad que no depende de que confíes en nadie. Esto es lo que dura cada cosa.

Plazo por defecto

Los acuerdos caducan automáticamente. Pasado el plazo se eliminan sin aviso previo salvo que se renueven de forma activa antes del vencimiento. La caducidad no es un castigo: es lo que hace que un acuerdo de hace tres años no siga por ahí describiendo lo que dos personas hablaron una noche.

Cuánto dura cada cosa

El contenido de un acuerdo: Hasta que caduca o hasta que cualquiera de las dos partes lo retira o lo borra, lo que ocurra antes.
El enlace que se comparte: Vive mientras viva el acuerdo. La ventana para unirse con él es más corta; una vez usado, sigue siendo la credencial de quien lo tiene para volver y para retirar su consentimiento.
El enlace del correo de alta: Media hora, y un solo uso.
El enlace para recuperar la contraseña: Una hora, y un solo uso.
El enlace para confirmar un cambio de dirección de correo: Una hora, y un solo uso. Guarda la dirección nueva en claro hasta que se consume o caduca.
Las sesiones abiertas: 30 días desde la última renovación. Puedes cerrarlas antes, una a una, desde tu cuenta.
El registro de auditoría (qué se hizo, cuándo, por quién y desde qué IP): [PENDIENTE-DUEÑO: fijar el plazo de conservación del registro de auditoría. Un año es lo habitual para poder responder a una reclamación; más tiempo hay que justificarlo.] Al borrar una cuenta, sus entradas se quedan sin identidad: el rastro sigue, la persona no.
Las incidencias técnicas: Siete días. No llevan ni actor ni IP.
Los datos de facturación: El plazo que exige la normativa contable y fiscal, que en España son cuatro años como mínimo y seis para los libros. Esta obligación es del negocio y no se puede renunciar a ella ni a petición tuya.

[PENDIENTE-DUEÑO: la tarea programada que ejecuta estos borrados automáticos todavía no está desplegada. Hasta que lo esté, los plazos de arriba describen la política y no la práctica, y esta página no debe publicarse como definitiva.]

Cómo se borra de verdad

Al borrar un acuerdo o una cuenta, la fila se elimina de la base de datos activa. No se marca como borrada y se deja ahí: desaparece, y con ella desaparecen en cascada las sesiones, las llaves de acceso y los enlaces asociados.

Lo que no podemos deshacer es el pasado. Las copias de seguridad conservan una copia legible de lo que hubiera en el momento de hacerlas, y esa copia sigue existiendo hasta que le toca reciclarse en el turno normal de rotación. No hay ningún truco que evite eso, y quien te diga lo contrario te está describiendo un sistema distinto del que tiene.

Periodicidad y rotación de las copias: [PENDIENTE-DUEÑO: cada cuánto se hacen copias, cuántas se conservan y en qué plazo se recicla la más antigua].
Dónde se guardan: [PENDIENTE-DUEÑO: proveedor y país donde residen las copias].

Mientras tanto, cada acceso al contenido de un acuerdo queda registrado con la fecha, quién lo hizo y desde qué dirección IP. Es la contrapartida honesta de guardarlo legible: si no podemos hacerlo ilegible, al menos que no se pueda mirar sin dejar rastro.

Si una de las dos personas quiere borrar

Un acuerdo es de dos. Si una de las partes pide su eliminación, el acuerdo se retira para ambas: deja de estar activo y deja de ser accesible.

Esta es una decisión deliberada. La alternativa — conservarlo porque la otra persona quiere — significaría tratar datos íntimos de alguien en contra de su voluntad expresa, y eso no lo vamos a hacer.

Y va en la misma dirección que el resto del producto: irse es retirar el consentimiento, y retirar el consentimiento no se le pide permiso a nadie.

Qué queda cuando borras tu cuenta

La cuenta desaparece de verdad, con sus sesiones, sus llaves de acceso y sus datos. En los acuerdos donde participabas con otra persona, tu parte deja de tener nombre y aparece como «cuenta borrada»: no guardamos ningún dato tuyo para poder seguir llamándote de alguna manera. Los acuerdos que quedan sin ninguna parte con cuenta y sin ningún enlace vivo se eliminan también.

Puedes descargar antes todo lo que tenemos sobre ti, en un fichero, desde tu cuenta. El resto está en la política de privacidad.