Política de Cookies

Esta lista sale de revisar el código, no de una plantilla. En el sitio público no hay:

• cookies de analítica ni de publicidad;
• Google Analytics, Google Tag Manager, Meta Pixel, TikTok Pixel, Hotjar, Clarity ni analítica de la plataforma de alojamiento;
• uso de localStorage, sessionStorage ni document.cookie;
• mapas, vídeos ni ningún contenido incrustado de un tercero —no hay iframes de YouTube, Maps ni Spotify—;
• proveedores externos de tipografías: las fuentes se sirven desde los archivos que genera el propio sitio, así que tu navegador no pide nada a un tercero para leerlo;
• huellas de navegador ni identificadores publicitarios.

Puedes comprobarlo: abre las herramientas de desarrollo de tu navegador, mira las pestañas de red y de almacenamiento y navega el sitio.

Cookies de sesión de Supabase Auth — estrictamente necesarias, primera parte, gestionadas por Supabase.

• Para qué: mantener la sesión del equipo de MILLE dentro del panel de administración y proteger esas rutas.
• Cuándo aparecen: solo al iniciar sesión en /admin. Si nunca entras ahí —y no puedes, salvo que seas del equipo—, tu navegador no recibe ninguna cookie de este sitio.
• Duración: la que fija la configuración de sesión de Supabase. El proyecto no define una propia, así que no vamos a escribir aquí un número que no controlamos.
• Cómo se quitan: cerrando sesión desde el panel, que borra la sesión y con ella las cookies.

No requieren consentimiento: sin ellas el inicio de sesión no funciona, y es el propio usuario quien pide ese servicio al entrar.

Contamos los clics en los enlaces de WhatsApp con una petición al servidor que guarda de qué enlace salió, qué intención tenía, el vehículo relacionado si lo había y la página. No usa cookies, ni almacenamiento del navegador, ni identificadores: no guarda IP, ni agente de navegador, ni nada que te señale. Es un contador, y por eso no se puede vincular a ninguna persona.

El control antispam de los formularios usa la IP de la petición como clave temporal en la memoria del servidor durante diez minutos. No es una cookie, no toca tu navegador y no se escribe en la base de datos.

Cuando envías un formulario sí queda registrada la IP, dentro de la prueba de tu autorización, y eso está explicado en la Política de Tratamiento de Datos Personales. Tampoco es una cookie: la lee el servidor de las cabeceras de esa petición concreta.

Porque no hay nada opcional que autorizar. Un banner existe para pedirte permiso antes de cargar tecnologías que no son necesarias, y aquí no se carga ninguna. Montar uno de todas formas pediría un permiso que no hace falta y empujaría a aceptar sin leer para quitárselo de encima, que es el hábito contrario al que la protección de datos busca.

Si algún día el sitio incorpora analítica, publicidad o contenido incrustado de un tercero, entonces sí hará falta: un aviso con opciones equivalentes —aceptar, rechazar y configurar, sin casillas preseleccionadas y sin que rechazar cueste más clics que aceptar—, un sitio donde volver a cambiar la decisión, y el bloqueo real de esos scripts hasta que la decisión exista. Y esta política se actualizaría antes, con una versión nueva.

Para cualquier duda sobre datos personales, el procedimiento y los plazos están en la Política de Tratamiento de Datos Personales.