# Privacidad

- Title: Política de privacidad — Sinal
- URL: https://sinal-pme.babete.pt/es/privacidad
- Language: es-ES
- Updated: 2026-11-06
- Alternate (en): https://sinal-pme.babete.pt/privacy (markdown: https://sinal-pme.babete.pt/privacy.md)
- Alternate (pt-PT): https://sinal-pme.babete.pt/pt/privacidade (markdown: https://sinal-pme.babete.pt/pt/privacidade.md)

Actualizado el 4 de noviembre de 2026

## Responsable del tratamiento

Sinal está operado por Babete, cuyos datos de registro y contacto figuran arriba. Babete es la responsable del tratamiento de los datos personales descritos en esta política.

## Ámbito

Esta política cubre el sitio público, la aplicación Sinal, la API de lectura y los correos que Babete envía en relación con el servicio — todos los lugares donde se tratan datos personales asociados a Sinal.

## Datos que tratamos

Los datos de una cuenta con sesión iniciada viven en la base de datos propia de esa cuenta, aislada por persona, salvo las opiniones que nos envíe. Esas opiniones se guardan en la base de datos compartida, como describe la tabla siguiente, y se eliminan junto con la cuenta.

El NIF de un empresario individual es un dato personal. Si lo indica, se guarda solo en la base de datos de su cuenta, se incluye en la exportación de sus datos y se elimina junto con la cuenta; nunca se escribe en el corpus compartido.

**Qué guardamos, dónde, durante cuánto tiempo y para qué**

| Categoría | Dónde | Retención | Finalidad |
|---|---|---|---|
| Correo, nombre y sitio web de la cuenta | Base de datos de la cuenta | Hasta que elimine la cuenta | Operar la cuenta |
| Su nombre, si lo indica, y la fecha en que se creó la cuenta. Ambos se incluyen en la exportación de sus datos | Base de datos de la cuenta | Hasta que elimine la cuenta | Mostrar quién tiene la sesión iniciada |
| Preferencias de visualización: tema, navegación y densidad, si las indica. Se incluyen en la exportación de sus datos | Base de datos de la cuenta | Hasta que elimine la cuenta | Mostrar el aspecto que eligió en cada dispositivo con la sesión iniciada |
| Foto de perfil, si la sube: la imagen (hasta 128 KiB, sin datos de ubicación), su tipo y un número de versión. Se incluye en la exportación de sus datos | Base de datos de la cuenta | Hasta que la quite o elimine la cuenta | Mostrar su foto en el menú de la cuenta y en la configuración |
| Perfil: prefijos CPV, palabras clave, competidores, productos, tipos de órgano de contratación y, si los indica, la oferta y el NIF de la empresa, el importe habitual de los contratos, las regiones donde presta servicio y las certificaciones | Base de datos de la cuenta | Hasta que elimine la cuenta | Generar su informe y explicar cómo una oportunidad encaja con su empresa |
| Búsquedas guardadas y sus cursores | Base de datos de la cuenta | Hasta que elimine la cuenta o la búsqueda | Ejecutar sus alertas |
| Anuncios ya mostrados | Base de datos de la cuenta | 90 días | Evitar repetir el mismo anuncio en un resumen |
| Anuncios que sigue y la fase que les asigna | Base de datos de la cuenta | Hasta que deje de seguirlos o elimine la cuenta | Mostrar los anuncios que sigue |
| Estado de las alertas, incluido el texto del último error | Base de datos de la cuenta | Hasta que elimine la cuenta | Programar resúmenes y mostrar qué falló |
| Hash y prefijo de la clave API, y contadores diarios | Base de datos de la cuenta | Hash y prefijo: hasta revocar o eliminar. Contadores: 31 días corridos | Medir el uso de la API |
| Hash del token de sesión | Base de datos de la cuenta | 30 días desde el inicio de sesión, o hasta cerrar sesión | Mantener la sesión iniciada |
| Token de cancelación de suscripción | Base de datos de la cuenta | Hasta que elimine la cuenta | Permitir que un resumen se cancele a sí mismo |
| Opiniones que nos ha enviado. Se incluyen en la exportación de sus datos | Base de datos compartida (no la de su cuenta); guardadas bajo un hash unidireccional de su correo, no la dirección en sí | Hasta que elimine la cuenta | Mejorar las funciones de vista previa |
| Contadores de ejecución de los resúmenes | Base de datos compartida, sin datos personales | Se mantienen indefinidamente | Comprobar si los resúmenes se están ejecutando |
| Registros de peticiones: patrón de ruta, estado, duración | Registros de peticiones de Cloudflare | Corta duración, retención estándar de Cloudflare | Diagnosticar y proteger el servicio |
| Claves de límite de tasa: su dirección IP, durante una ventana de segundos | Limitador de tasa de Cloudflare | Segundos | Impedir el abuso de los planes gratuitos |
| Cuota de lecturas de sitios web: un hash abreviado de su dirección IP (una dirección IPv6 como red /64) y el día | Base de datos compartida | Tres días como máximo | Limitar cuántas lecturas nuevas de sitios web puede iniciar cada visitante al día |

## Finalidades y bases jurídicas

Babete se apoya en tres bases jurídicas, según la finalidad del tratamiento.

- Contrato — gestionar su cuenta, sus búsquedas guardadas y los correos de resumen, porque nos lo pidió.
- Interés legítimo — proteger el servicio, aplicar límites de tasa y mantener registros operativos, necesario para que Sinal siga funcionando de forma segura.
- Consentimiento — analítica (Google Analytics, Microsoft Clarity), que solo se activa después de aceptarla en el aviso de cookies.

## Cookies y almacenamiento

La tabla siguiente enumera todas las cookies y valores almacenados que establece el sitio.

Cuando la analítica está activa, Google Analytics funciona sin Google Signals ni vinculación publicitaria, y Microsoft Clarity respeta la misma señal de consentimiento — ninguno se carga antes de aceptar.

**Cookies y almacenamiento del navegador**

| Nombre | Tipo | Duración |
|---|---|---|
| __Host-sinal_session | Estrictamente necesaria (mantiene la sesión iniciada) | 30 días |
| __Host-sinal_signin_method | Preferencia (recuerda si inició sesión por correo o Google) | 90 días |
| __Host-sinal_google_txn | Estrictamente necesaria (protege un inicio de sesión de Google en curso) | 10 minutos; se elimina al recibir la respuesta |
| sinal-locale | Preferencia (recuerda el idioma) | 1 año |
| sinal-consent | Registro de consentimiento (recuerda la elección) | 182 días |
| theme, sinal-theme, sinal-locale, sinal-consent, rail, rail-density, table-density, feed-density, who-else-density, winners-density, accounts-density, incumbents-density, pme-density, multilateral-density, brazil-density, latam-density, asia-density, feed-display, incumbents-display, who-else-display, winners-display, accounts-display, pme-display, multilateral-display, brazil-display, latam-display, asia-display, sinal-flags, sinal:up-next-view, can-we-bid-capabilities (localStorage) | Preferencia, guardada solo en su dispositivo (sinal-consent refleja la cookie de consentimiento) | Hasta que la borre |
| sinal.pending (sessionStorage) | Estrictamente necesario (guarda una búsqueda o un perfil mientras inicia sesión) | Hasta que cierre la pestaña, o hasta que se envíe con su solicitud de inicio de sesión |
| _ga, _ga_\* (Google Analytics) | Analítica — solo tras aceptar | Establecida por Google, solo tras consentimiento |
| _clck, _clsk (Microsoft Clarity) | Analítica — solo tras aceptar | Establecida por Microsoft, solo tras consentimiento |

## Analítica y consentimiento

Sinal usa Consent Mode v2: todas las señales de analítica y publicidad empiezan denegadas, y nada más allá de las cookies estrictamente necesarias se carga hasta que acepte. Las señales publicitarias permanecen siempre denegadas — Sinal no muestra publicidad. Puede cambiar de opinión en cualquier momento desde «Ajustes de cookies», en el pie de página.

## Encargados del tratamiento

Babete recurre a los siguientes encargados para operar Sinal.

- Cloudflare, Inc. — alojamiento, base de datos de la cuenta y envío de correo, en la red global de Cloudflare; los datos pueden salir de la UE, amparados por el EU–US Data Privacy Framework y Cláusulas Contractuales Tipo.
- Google Ireland Limited — Google Tag Manager y Google Analytics, solo después de que acepte la analítica.
- Microsoft Ireland Operations Limited — Microsoft Clarity, solo tras aceptar la analítica.

## Inicio de sesión con Google

Si elige iniciar sesión con Google, este le autentica y envía a Sinal su correo verificado para que podamos encontrar o crear su cuenta. El navegador se redirige a Google para la autenticación. Sinal no recibe ni guarda su contraseña de Google, y no conserva en su cuenta ningún identificador de cuenta de Google ni token de acceso.

## Datos personales de terceros en el corpus

Los anuncios de contratación pública que indexa Sinal a veces identifican a una persona de contacto y una dirección de correo, publicadas por la propia entidad adjudicadora como parte del expediente público de la licitación.

Babete trata ese contacto al amparo del artículo 6.1.f) del RGPD — un interés legítimo en hacer transparente y buscable el gasto público. Solo existe en la base de datos; Sinal nunca lo muestra en una página. Si aparece identificado en un anuncio y se opone a este tratamiento, escríbanos y actuaremos.

## Retención

La mayor parte de los datos de la cuenta se conserva hasta que elimine la cuenta. Las excepciones están en la tabla anterior: los anuncios ya mostrados caducan a los 90 días, los contadores de uso de la API caducan a los 31 días, y una sesión caduca 30 días después de crearse o en cuanto cierra sesión.

## Sus derechos

Bajo el RGPD puede ejercer los siguientes derechos en cualquier momento. Como su dirección de correo es la forma de encontrar su cuenta, no puede cambiarse directamente — elimine la cuenta y regístrese de nuevo con la nueva dirección. Respondemos a una solicitud en un plazo de 30 días.

- Acceso — pida qué guardamos sobre usted.
- Rectificación — su perfil es editable en la aplicación en cualquier momento.
- Supresión — elimine la cuenta, lo que borra de inmediato todo lo anterior.
- Portabilidad — descargue sus datos como un archivo JSON desde la página Yo.
- Oposición — oponerse a una actividad de tratamiento, incluidos los datos de contacto de terceros descritos arriba.
- Limitación — pídanos que limitemos el uso de sus datos mientras se resuelve una solicitud.

## Reclamaciones

Puede presentar una reclamación ante la Comissão Nacional de Proteção de Dados (CNPD), la autoridad portuguesa de protección de datos, en cnpd.pt — o ante la autoridad de control de su propio Estado miembro de la UE, como la Agencia Española de Protección de Datos (AEPD) en aepd.es.

## Seguridad

Sinal está construido para que el impacto de cualquier fallo sea pequeño.

Comunique una vulnerabilidad mediante security.txt, descrito en la página /security.

- Toda conexión es HTTPS.
- La cookie de sesión es HttpOnly y no puede leerse mediante un script.
- Los enlaces de inicio de sesión, los tokens de sesión y las claves API se guardan como hashes — nunca como el secreto en bruto.
- No hay contraseñas que robar: el inicio de sesión es un enlace y un código de un solo uso, enviados a su dirección.

## Menores

Sinal es una herramienta empresarial. No está dirigido a, y Babete no recopila conscientemente datos de, nadie menor de 16 años.

## Cambios

Esta política está fechada en la parte superior de la página. Babete actualizará esa fecha cada vez que cambie el texto y no reducirá sus derechos sin avisarle.

## Contacto

Preguntas sobre esta política o sobre sus datos: escriba a la dirección anterior.